Anoxinon Media

Happy Birthday, Debian!

Wed, 16 Aug 2023 08:00:00 +0200

Inhaltsverzeichnis:

Wer ist denn Debian
Lust auf mehr bekommen?
Von Windows zu Debian GNU/Linux
Danke, Danke, Danke!

Wer ist denn Debian?

Das Debian-Projekt ist ein Zusammenschluss von Freiwilligen mit der Mission ein freies Betriebssystem zu schaffen. Gegründet wurde das Projekt am 16. August 1993 von Ian Murdock. Weshalb wir heute, am 16. August 2023, zum 30. Geburtstag gratulieren. “Happy Birthday, Debian!”

Wer mehr über die Philosophie und die Geschichte erfahren möchte, kann sich die folgenden Seiten des Debian Projekts ansehen:

Was macht jetzt Debian so besonders gegenüber anderen Betriebssystemen? Debians Moralvorstellungen! Es ist der Debians Gesellschaftsvertrag (Debian Social Contract).

Es gibt noch weitere Gründe warum Debian bei Anwendern sehr beliebt ist. Es wird als sehr stabil und zuverlässig angesehen und ist sehr universell einsetzbar.

Gründe für den Einsatz von Debian

Lust auf mehr bekommen?

Die aktuelle Version von Debian GNU/Linux ist Debian 12 (Codename “Bookworm”). Es gibt mehrere Möglichkeiten das Betriebssystem zu installieren/auszuprobieren. Was wir später im Artikel noch mal ansprechen werden.

Das Debian Projekt hat sehr viel Dokumentation.

Was in Debian “drin” ist, findet man auf der Seite Paketsuche. In Debian Stable sind mehr als 59000 Pakete verfügbar. Möchte man mehr zu einer Software in Debian erfahren, findet man alle wichtigen Informationen auf diesen Seiten. Hier ein Beispiel zur Paketseite vom Chat Programm “dino”.

Von Windows zu Debian GNU/Linux

Unserer Erfahrung nach ist der Schritt von Windows zu GNU/Linux meist ein Prozess welcher einige Zeit in Anspruch nehmen kann. Welchen Weg man wählt hängt von den persönlichen Bedürfnissen sowie Anforderungen ab.

Eine gute Voraussetzung, den Prozess von Windows zu Linux zu starten, ist wenn man einen ausgemusterten Computer hat oder das System in einer virtuellen Maschine installieren kann. So kann man das System langsam kennenlernen und nach und nach auf seine Bedürfnisse anpassen.

Es gibt auch die Möglichkeit Live-Images zu nutzen. Ein Live-System kann direkt von USB/CD/DVD gestartet werden und es muss nichts installiert werden. Debian bietet mehrere Möglichkeiten für Abbilder an.

Hilfreich in verschiedenster Hinsicht, kann das aufsuchen einer Linux User Group sein. Mit etwas Glück findet man eine Gruppe in der Nähe. Es gibt einige hilfsbereite Menschen, die Fragen beantworten und beim Lösen von Problemen unterstützen können. Es gibt auch innerhalb des Debian Projekts verschiedene Online Support Gruppen (Mailinglisten, IRC Kanäle, XMPP Gruppenchats, Foren).

Danke, Danke, Danke!

An dieser Stelle möchten wir den Menschen danken, welche am Debian Projekt und an freier Software mitarbeiten. Der Linux Kernel, die GNU Software, das Debian Projekt und viele Software Entwickler welche ihre Software unter einer freien Lizenz anbieten, haben es ermöglicht, dass wir ein freies Betriebssystem nutzen können. Frei nicht im Sinne von kostenlos, sondern von “freiheitlich”.

XMPP - Teil 2 - XMPP etwas genauer

Sat, 29 Jul 2023 12:00:00 +0000

Inhaltsverzeichnis:

Konto
Geräte, Priorität und Routing
Nachrichten, Chat, Gruppenchats und Schlagzeile
Message Archive Management
Gruppenchats

Konto

Kontaktliste

Ein XMPP Konto hat eine Kontaktliste (roster). Diese ist wie folgt in RFC-6121 definiert.

In XMPP, a user’s roster contains any number of specific contacts. A user’s roster is stored by the user’s server on the user’s behalf so that the user can access roster information from any device. When the user adds items to the roster or modifies existing items, if an error does not occur then the server SHOULD store that data unmodified if at all possible and MUST return the data it has stored when an authorized client requests the roster.

Die Kontaktliste eines XMPP-Kontos liegt auf dem jeweiligen Server des Anbieters. Da die Kontakte auf dem Server abgelegt sind, bekommt man die Änderungen an der Kontaktliste auf allen Geräten zur Verfügung gestellt wenn sich der Benutzer am Konto anmeldet und seine Kontaktliste abfragt.

Persönliche Ereignisse

Eine sehr hilfreiche Erweiterung von XMPP ist das Personal Eventing Protocol (kurz: PEP) welches in XEP-0163 definiert ist.

Personal eventing provides a way for a Jabber/XMPP user to send updates or “events” to other users, who are typically contacts in the user’s roster. An event can be anything that a user wants to make known to other people, such as those described in User Geolocation (XEP-0080), User Mood (XEP-0107), User Activity (XEP-0108), and User Tune (XEP-0118).

Die Idee von PEP ist Informationen (beispielsweise Ereignisse) an seine Kontakte mitzuteilen. Das kann der aktuelle Standort sein oder ein Hinweis über seine aktuelle Laune (glücklich, sauer, hungrig,….). Es wird auch für technische Informationen verwendet, beispielsweise für den Schlüsselaustausch bei Verschlüsselungen.

Visitenkarte

Im Konto kann man auch eine vCard hinterlegen. Die vCard ist eine persönliche, digitale Visitenkarte.

Geräte, Priorität und Routing

XMPP ist mehrgeräte-fähig, man kann sein Konto somit auf verschiedenen Geräten nutzen (Smartphone, PC, Laptop oder innerhalb einer Web-Anwendung).

XMPP-Adresse und Ressource

Bei der Herstellung einer Verbindung von einem Client zu einem Server, gibt die Client-Anwendung einen Namen der Ressource mit oder bekommt diesen vom Server zugewiesen. Diese Ressource erweitert die XMPP Adresse. Die bare Adresse ist diejenige ohne Ressource. XMPP Adressen mit Ressource bezeichnet man als full Adressen. Zur Verdeutlichung machen wir ein Beispiel. Wir haben drei Geräte und nutzen auf allen drei Geräten die gleiche XMPP Adresse. Wir geben den Clients auf den Geräten die Ressourcennamen Laptop, Smartphone, Workstation. Unsere XMPP Adresse ist alice@anoxinon.me. Wenn wir uns auf allen drei Geräten anmelden, haben wir für unsere bare XMPP Adresse alice@anoxinon.me drei full XMPP Adressen

alice@anoxinon.me/Laptop
alice@anoxinon.me/Smartphone
alice@anoxinon.me/Workstation

Warum dies heute für die meisten Benutzer eine untergeordnete Rolle spielt, werden wird später noch erklären. Die Konzepte werden hier erläutert um ein besseres Grundverständnis des XMPP-Protokolls zu vermitteln.

Priorität

Das Grundkonzept wie es im RFC beschrieben ist sendet Nachrichten nur an ein Geräte oder Geräte die online sind. An welches es gesendet wird ist abhängig von seiner Priorität. Mit dem Anmelden am XMPP-Server wird eine Priorität übergeben. Das Geräte welches gerade mit der höchsten Priorität online ist, bekommt die Nachrichten zugestellt.

Priorität 10 alice@anoxinon.me/Laptop
Priorität 30 alice@anoxinon.me/Smartphone
Priorität 20 alice@anoxinon.me/Workstation

Ist beispielsweise das Laptop mit Priorität 10 online, werden Nachrichten an dieses Geräte gesendet. Melden wir uns mit der Workstation unter Priorität 20 an, werden zukünftige Nachrichten an dieses Gerät geschickt bis es offline geht oder durch die Priorität 30 vom Smartphone überholt wird. Die Verarbeitung der Nachrichten ist genaugenommen abhängig vom Typ der Nachricht.

Carbons

Einige Nutzer möchten jedoch, dass Nachrichten an alle Geräte geschickt werden welche gerade online sind. Hierfür wurde das Protokoll um XEP-0280: Message Carbons erweitert. Dieses wird auch von “bekannten” XMPP Clients standardmäßig aktiviert. Hat der Client Carbons aktiviert, bekommt er die gesamte Kommunikation als Kopie mitgeteilt, auch wenn die Kommunikation auf einem anderen Gerät erfolgt.

Nachrichten, die nicht zugestellt werden können, da kein Gerät online ist, werden auf dem Server als offline-Nachricht gespeichert. Geht eines unserer Geräte online, werden die offline-Nachrichten an diese Ressource geschickt.

Nachrichten, Chat, Gruppenchats und Schlagzeile

Unterschieden werden 4 Arten von Nachrichten. Den Typ Fehlerfall vernachlässigen wir in diesem Artikel.

Normale Nachrichten (normal)
Nachrichten in einer Konversationen (chat)
Nachrichten in einem Gruppenchat (groupchat)
Schlagzeile (Headline, Warnung, Benachrichtigung)

Normale Nachrichten sind Einzelnachrichten. Sie können auch einen Betreff haben. Chatnachrichten sind Konversationen zwischen zwei Teilnehmern. Multi-User-Chats (MUC) werden für Chatgruppen verwendet. Schlagzeilen können als Warnung, Benachrichtigung, Informationen dienen.

Message Archive Management

Message Archive Management ist eine Erweiterung von XMPP und wird mit MAM abgekürzt. Braucht man MAM? Ein klares Jein. MAM wird zum Chatten nicht benötigt, wir wollen es aber dennoch. Diese Erweiterung sorgt für das serverseitige Speichern von Nachrichten. I.d.R. ist diese Speicherung von Nachrichten zeitlich begrenzt, was jedoch serverseitig einstellbar ist.

Werden Nachrichten eine zeitlang auf dem Server vorgehalten, kann ein Client auch nachträglich Nachrichten aus dem Archiv anfragen. Damit können Nachrichten empfangen werden, auch wenn das Gerät nicht online war und deshalb Nachrichten an ein anderes Geräte geschickt wurden.

Gruppenchats

Gruppenchats werden in der Spezifikation Multi-User-Chat (MUC) genannt. Es handelt sich bei Gruppenchats um eine Erweiterung welche in XEP-0045 spezifiziert ist. Ein Gruppenchat hat eine eindeutige XMPP Adresse (beispielsweise vereinsname@chat.domain.tld) und kann einen Namen, eine Beschreibung und ein Thema haben. Ferner hat ein Gruppenchat die folgenden Eigenschaften.

Anonymität
Teilnehmer
Sichtbarkeit
Persistenz
Archivierung

Diese Einstellungen können vom Besitzer der Gruppe geändert werden.

Ist eine Gruppe semi-Anonym, so können nur die Moderatoren die XMPP Adresse der Teilnehmer sehen. Die Teilnehmer untereinander sehen nur den Nickname, jedoch nicht die gesamte XMPP-Adresse. Der Nickname lässt sich pro Gruppenchat vom Teilnehmer wählen. Da die Moderatoren (Besitzer und Administratoren der Gruppe) die richtige XMPP Adresse einsehen können, wird es semi-anonym bezeichnet. In nicht-anonymen Gruppe kann jeder Teilnehmer die Adresse der anderen Teilnehmer einsehen. Somit ist in nicht anonymen Gruppe auch eine Ende-zu-Ende Verschlüsselung möglich, was bei semi-anonymen Gruppen nicht der Fall ist.

Wer einem Gruppenchat beitreten darf, kann auch eingestellt werden. Ist der Gruppenchat öffentlich, kann jeder diesen Gruppenchat betreten. Es ist aber auch möglich einen Gruppenchat auf bestimmte XMPP-Adressen einzuschränken. Hier kann abhängig von den Einstellungen des Raumes jeder Teilnehmer weitere Personen in den Raum einladen oder es liegt ausschließlich in der Verantwortung der Moderatoren.

Es gibt bei XMPP ein Service Discovery. Damit lassen sich existierende Gruppenräume abfragen. Der Besitzer eines Gruppenchats kann entscheiden ob der Raum in der Liste sichtbar ist oder nicht. Dies beutet ein Raum ist sichtbar oder eben versteckt.

Auch die Persistenz ist eine Eigenschaft. Sie entscheidet was mit den Gruppenchats passiert, wenn dieser keine Teilnehmer mehr hat. Ist der Raum dann wieder frei verfügbar und kann von anderen genutzt werden oder bleibt dieser persistent und ist somit für die weitere Nutzung reserviert.

XMPP - Teil 1 - Messaging mal anders

Thu, 01 Sep 2022 07:30:00 +0200

Inhaltsverzeichnis:

Einleitung
Der Ablauf
Anbieter aussuchen
Account anlegen
Anwendung installieren
Chatten

Einleitung

Instant-Messaging-Lösungen gibt es mittlerweile wie Sand am Meer. Oft wird mit Sicherheit und Datenschutz geworben, doch trotzdem gibt es zwischen den verschiedenen Lösungen teils gravierende Unterschiede. Im Folgenden soll es um XMPP gehen - eine Alternative, die sich von der Masse abhebt.

Es hört sich vielleicht erst mal kompliziert an, das ist es aber eigentlich gar nicht. Wir werden in der Einleitung ganz kurz drauf eingehen was XMPP ist, aber dann auch ganz schnell die ersten Schritte beschreiben, wie man mit XMPP loschatten kann.

XMPP steht für Extensible Messaging and Presence Protocol, was auf deutsch in etwa heißt erweiterbares Nachrichten- und Anwesenheitsprotokoll. Es handelt sich hierbei um ein offenes und standardisiertes Protokoll, welches man für Instant Messaging - also “chatten” verwenden kann.

Ein Protokoll ist eine Definition von syntaktische und semantische Regeln, wie die verschiedenen Anwendungen miteinander kommunizieren. Nur wenn das Protokoll offen ist, können andere Anwendungsentwickler ebenfalls Programme schreiben, die dieses Protokoll verwenden. Dies bedeutet auch, dass es nicht die eine Anwendung für XMPP gibt. Tatsächlich gibt es für XMPP eine Vielzahl an Anwendungen, die größtenteils miteinander kompatibel sind.

So lassen sich anbieterunabhängige Lösungen umsetzen. Dies kennen die meisten von E-Mails. Auch hier gibt es viele verschiedene Anbieter und auch viele verschiedene Anwendungen. Dennoch können die Nutzer E-Mails unabhängig von Anbieter und Anwendung zur Kommunikation verwenden.

Der Ablauf

Zu Beginn brauchen wir einen Anbieter, welcher uns einen XMPP Dienst zur Verfügung stellt. Wer noch keinen Anbieter hat, kann sich vorher Gedanken machen, welche Kriterien für ihn wichtig sind und sich dann einen Anbieter aussuchen, welcher die gewünschten Kriterien erfüllt.

Nach der Auswahl des Anbieters, erstellt man sich einen XMPP Account. In den meisten Fällen sucht man sich einen Namen aus und wählt ein Passwort für den Account. Nach der Anmeldung hat man ein XMPP Account, welche von der Form vergleichbar mit einer E-Mail Adresse ist (name@domain.tld).

Im nächsten Schritt entscheidet man sich für eine Anwendung, dem XMPP Client. Diese wird installiert und man trägt seine XMPP-Adresse und sein Passwort für den XMPP Account ein.

Fertig! Willkommen bei XMPP!

Anbieter aussuchen
Account anlegen
Anwendung bzw. App installieren
Account in der Anwendung hinzufügen

Anbieter aussuchen

Gerne laden wir euch ein, unseren XMPP Dienst zu nutzen, wenn ihr dies möchtet. Eine Liste von Anbietern findet man hier:

Die folgenden Kriterien sollte man bei der Wahl des Anbieters beachten:

Wer betreibt den Dienst
Standort des Servers
Dauer der Speicherung von Nachrichten
Wie aktuell ist die Software
Welche Erweiterungen werden vom Server unterstützt

Die wesentlichen Vorteile sind, dass der Dienst nicht nur von einem Anbieter angeboten wird, sondern mehrere Anbieter den Dienst bereitstellen können. Der Benutzer kann so frei wählen, wo er den Dienst nutzen möchte oder ggf. auch selber einen eigenen Dienst betreiben. Außerdem kann ein Benutzer mehrere Accounts haben, welche auch bei unterschiedlichen Anbietern sein können.

Account anlegen

Die meisten öffentlichen Anbieter haben eine Webseite, auf welcher der Benutzer seinen Account erstellen kann. Der Benutzer wählt einen Benutzernamen, dies kann ein fiktives Wort, eine (zufällige) Zeichenfolge oder sein richtiger Name sein. Zudem muss ein Passwort gewählt werden, welches man sich gut merken sollte. Erstellt man beispielsweise einen Account MaxMustermann beim Anbieter domain.tld, so ist die XMPP-Adresse MaxMustermann@domain.tld.

Einige Server bieten auch eine in-band registration (IBR). Wenn diese Funktion angeboten wird, kann man seinen Account auch direkt innerhalb einer Anwendung erzeugen. Allerdings bieten nicht alle Anbieter und Anwendungen diese Funktion an.

Anwendung installieren

Jetzt ist es Zeit sich eine Client Anwendung für XMPP zu installieren. Es gibt viele verschiedene XMPP Client Anwendungen. Abhängig von persönlichen Bedürfnissen und Geschmack, kann man sich ein Client aussuchen.

Conversations ist eine Client für Android. Er kostet im PlayStore nicht mal 4 Euro. Im F-Droid Store gibt es die App kostenlos.
Quicksy ist ein Ableger von Conversations. Während man bei Conversations XMPP-Adressen hinzufügt, funktioniert Quicksy via Handynummer. So lassen sich Kontakte aus dem Adressbuch leicht finden.
gajim ein Client für GNU/Linux und Windows.
Dino ein Client für GNU/Linux.
Profanity ein Client für die GNU/Linux Console.
conversejs ist ein XMPP Web-Client. Auch wir bieten diesen Web-Client auf https://webchat.anoxinon.me/ an.
Weitere XMPP Client Anwendungen findet man auf xmpp.org.

Chatten

Nachdem man seinen XMPP-Account (XMPP-Adresse und Passwort) in der Anwendung eingerichtet hat, kann man mit dem Chatten beginnen. Man kann andere XMPP-Benutzer in seiner Kontaktliste eintragen, den Online-Status von Kontakten sehen und innerhalb privater und öffentlicher Gruppen chatten. Natürlich sind auch 1:1 Chats möglich.

Die meisten Anwendungen funktionieren mit der XMPP-Adresse. Dies bedeutet, dass man für den Dienst weder eine E-Mail-Adresse noch eine Telefonnummer benötigt. Aus diesem Grund hat XMPP eine eigene Kontaktliste (in der Spezifikation “roster” genant). Man fügt seine Kontakte über die jeweilige XMPP-Adresse des Bekannten hinzu.

Vor- und Nachteile

Die Verwendung von XMPP hat wesentlichen Vorteile gegenüber manch anderen Messenger. Eine Medaille hat allerdings immer zwei Seiten. Denn was für den einen vielleicht ein Vorteil ist, kann aus einem anderen Gesichtspunkt ein Nachteil sein. Hier ein paar Punkte, die wir für euch zusammengestellt haben.

Es gibt viele XMPP Client Anwendungen, welche als Freie Software angeboten werden. Der Benutzer ist nicht gezwungen eine konkrete Anwendung zu verwenden.
Es gibt verschiedene XMPP Server Software, welche als Freie Software angeboten werden.
Bei einer Vielzahl öffentlicher Anbieter sind für die Registrierung keine weiteren Daten notwendig (bswp. E-Mail-Adresse, Telefonnummer, …).
Viele Client Anwendungen bieten dem Nutzer die Möglichkeit, mehrere Accounts zu verwenden. So ist beispielsweise eine Trennung von privater und beruflicher Kommunikation möglich.
Die Accounts lassen sich unabhängig voneinander “online” und “offline” schalten. Auch der Status ist unabhängig wählbar. (Diese Funktion ist jedoch clientabhängig)
XMPP lässt sich auch ohne Smartphone/Telefon verwenden, wenn eine Person kein Smartphone besitzt oder das Chatten nur auf dem PC wünscht.
Wenn jemand kein eigenen Computer hat, kann er einen Web-Client nutzen.

Fragen?

Versuche es doch einfach mal. Du kannst auf unserem Server einen Account anlegen und es einfach im Webchat ausprobieren oder dir direkt eine Anwendung installieren. Wenn du noch weiter Hilfe benötigst, kannst du gerne unserem öffentlichen Anoxinon-Gruppenchat direkt auf XMPP beitreten: anoxinon@conference.anoxinon.me.

OpenPGP - Teil 6 - die Vertrauenswürdigkeit der öffentlichen Schlüssel

Sun, 01 May 2022 16:30:00 +0000

Inhaltsverzeichnis:

Einleitung
Schlüsselbeschaffung und Lieferketten
Schlüsselüberprüfung mit Fingerabdrücken
Vertrauen bis Vertrauen⁵
Schlüssel signieren
TOFU
Fazit

1. Einleitung

In den vergangenen Artikeln haben wir sowohl die theoretischen Grundlagen von OpenPGP behandelt sowie einige praktische Anwendung. Was wir dort gelernt haben, steht und fällt aber mit einer zentralen Fragen: Ist der öffentliche Schlüssel wirklich von der Person, von der wir das glauben?

Die beste Signatur oder die beste Verschlüsselung ist nutzlos, wenn der Schlüssel, den wir verwenden, von einer Angreiferin oder einem Angreifer stammt. Beispielsweise hindert uns niemand daran, beliebig Schlüssel für beliebige Identitäten (bspw. E-Mail-Adressen) zu erstellen.

2. Schlüsselbeschaffung und Lieferketten

Im Teil 2 sind wir kurz auf die Verteilung der Schlüssel an andere Benutzer:innen eingegangen. Bei der Nutzung eines Speichermediums wie einem USB-Sticks, der persönlich übergeben wird, können wir uns sehr sicher sein, dass sich darauf der echte öffentliche Schlüssel befindet. Das genaue Gegenteil sind öffentliche Keyserver, auf die jeder Schlüssel hochladen kann. Das ist scheinbar kein theoretisches Problem. Selbst wenn der Keyserver nur einen Schlüssel anbietet weiß man nicht, ob das ein echter oder ein falscher Schlüssel ist.

Dazwischen liegen das Web Key Directory und das Versenden des Schlüssels per E-Mail als Antwort auf eine an diesen Benutzer gesendete E-Mail. Beide Methoden stellen sicher, dass der Schlüssel vom Benutzer kommt oder von jemanden mit Kontrolle über die beteiligte E-Mail-Infrastruktur platziert wurden, was den Kreis der möglichen Angreifer erheblich reduziert. Wenn man nicht von besonderem Interesse ist und auch keine Geschäftsgeheimnisse austauschen möchte, sondern nur belanglose Alltagskommunikation durchführt, dann kann man bei diesen beiden Methoden für sich entscheiden, dass der Schlüssel mit ausreichend hoher Wahrscheinlichkeit echt ist. (Und falls man von besonderem Interesse ist oder Geschäftsgeheimnisse austauschen möchte, sollte man über mehr Sicherheitsmaßnahmen als die Verschlüsselung der Kommunikation nachdenken und auch an die Sicherheit beim Kommunikationspartner denken.) Diese Vorgehensweise ist auch bei verschlüsselten Messengern verbreitet: Der Schlüssel wird automatisch übertragen und es wird erst einmal angenommen, dass er korrekt ist.

Man sollte sich daher immer bewusst sein, welche Vertrausenswürdigkeit man öffentlichen Schlüsseln abhängig von der Lieferkette/Beschaffungsmethode anrechnen möchte. Um die Sicherheit weiter zu erhöhen, gibt es verschiedene Methoden einen Schlüssel auf dessen Vertrauenswürdigkeit hin zu überprüfen. Einige davon möchten wir nachfolgend vorstellen.

3. Schlüsselüberprüfung mit Fingerabdrücken

Um Schlüssel zu vergleichen, ohne den ganzen Schlüssel zu kopieren, gibt es Fingerabdrücke bzw. Fingerprints. Diese haben den Vorteil, dass sie kompakter als der Schlüssel sind und sich auf einen Zettel oder eine Visitenkarte schreiben bzw. drucken lassen. Das Lieferkettenproblem löst das natürlich nicht, der Zettel/die Visitenkarte sollte dann schon vom Schlüsselinhaber kommen.

Der Fingerabdruck ist nicht im Schlüssel gespeichert, sondern wird aus ihm berechnet. Wie das genau funktioniert, wird im RFC 4880 beschrieben: Bei der aktuellen Version vier das Schlüsselformats wird ein SHA1-Wert berechnet.

Den Fingerabdruck kann man auch anzeigen, ohne den Schlüssel zu importieren:

gpg --show-key Mister.Bob.asc
pub rsa3072 2020-04-21 [SC] [expires: 2022-04-21]
12659719CA0B9854292D0A8F352EF7E2607CDD39
uid Mister Bob 
sub rsa3072 2020-04-21 [E] [expires: 2022-04-21]

Wenn man sich schon die Mühe macht, sich Fingerabdrücke zu beschaffen, dann sollte man diese auch vollständig vergleichen. Man kann sich den Fingerabdruck nicht aussuchen, aber man kann so oft einen neuen Schlüssel generieren, bis einem der Fingerabdruck gefällt. Weniger Stellen bedeuten weniger Versuche, bis diese einen bestimmten Wert haben: Um einen bestimmten Wert bei der ersten Stelle zu erreichen, benötigt man im Mittel 16 Versuche, für zwei Stellen schon 16*16 = 256 Versuche. Um für alle Stellen bei Version vier einen bestimmten Wert zu erreichen, bräuchte man 16^40 = 1,461501637×10⁴⁸ Versuche, die nicht realistisch möglich sind.

4. Vertrauen bis Vertrauen⁵

Neben der direkten Prüfung eines Schlüssels kann man auch darauf zurückgreifen, was andere zu einem Schlüssel sagen.

Bei HTTPS-Verbindungen zu Webseiten wird das Konzept der Zertifizierungsstellen verwendet: Eine Zertifizierungsstelle prüft, dass eine Webseite einer Organisation gehört und stellt dieser ein Zertifikat aus. Der Browser vertraut (ggf. über Umwege) der Zertifizierungsstelle und der Benutzer vertraut (oft unwissentlich) dem Browserhersteller, dass er die Zertifizierungsstellen gezielt und sinnvoll gewählt hat.

Dieses Grundprinzip kommt auch beim Web of Trust, kurz WoT zum Einsatz. Der entscheidende Unterschied ist aber, dass es keine gegebenen Zertifizierungsstellen gibt, sondern jeder angeben kann, wen er überprüft hat. OpenPGP orientiert sich dann an den Einschätzungen von denjenigen, denen man vertraut. Die Dokumentation beschreibt folgende Bedingungen, mit denen ein Schlüssel gültig ist:

er wurde von einem selbst bestätigt
er wurde von einem “fully trusted key” bestätigt
er wurde von drei “marginally trusted keys” bestätigt

Zusätzlich ist die Anzahl der Vertrauensebenen auf fünf begrenzt.

Bei einem intensiven PGP-Benutzer sammeln sich viele Schlüssel an, wodurch die Anwendung dieser Regeln einige Ressourcen benötigen kann. Das ist einer der Gründe, warum dieser Prozess manuell mit gpg --update-trustdb durchgeführt werden muss. Ein anderer Grund ist, dass man dabei gefragt wird, wie sehr man einer Person vertraut, wenn man das noch nicht angegeben hat.

5. Schlüssel signieren

Angenommen, wir haben geprüft, dass ein Schlüssel zur entsprechenden Person gehört (ggf. auch unter Nutzung eines amtlichen Ausweisdokuments) und wir wollen das nun speichern. Dann führt man den enstprechenden Befehl aus:

gpg --default-key 7FA1EB8644BAC07E7F18E7C9F121E6A6F3A0C7A5 --ask-cert-level --sign-key 12659719CA0B9854292D0A8F352EF7E2607CDD39
sec rsa3072/352EF7E2607CDD39
erzeugt: 2020-04-21 verfällt: 2022-04-21 Nutzung: SC
Vertrauen: ultimativ Gültigkeit: ultimativ
ssb rsa3072/87EBA45CD82A5C31
erzeugt: 2020-04-21 verfällt: 2022-04-21 Nutzung: E
[ ultimativ ] (1). Mister Bob 
gpg: "7FA1EB8644BAC07E7F18E7C9F121E6A6F3A0C7A5" wird als voreingestellter geheimer Signaturschlüssel benutzt
sec rsa3072/352EF7E2607CDD39
erzeugt: 2020-04-21 verfällt: 2022-04-21 Nutzung: SC
Vertrauen: ultimativ Gültigkeit: ultimativ
Haupt-Fingerabdruck = 1265 9719 CA0B 9854 292D 0A8F 352E F7E2 607C DD39
Mister Bob 
Dieser Schlüssel wird 2022-04-21 verfallen.
Wie genau haben Sie überprüft, ob der Schlüssel, den Sie jetzt beglaubigen
wollen, wirklich der o.g. Person gehört?
Wenn Sie darauf keine Antwort wissen, geben Sie "0" ein.
(0) Ich antworte nicht. (default)
(1) Ich habe es überhaupt nicht überprüft.
(2) Ich habe es flüchtig überprüft.
(3) Ich habe es sehr sorgfältig überprüft.
Ihre Auswahl? ('?' für weitere Informationen):

Die Beglaubigung kann exportiert und dem Inhaber des Schlüssels gesendet werden, damit dieser diese für das WOT nutzen kann. Dabei gibt es die Vorgehensweise, die Beglaubigung verschlüsselt zu senden, um zu testen, ob er/sie die mit dem Schlüssel verschlüsselten Nachrichten auch lesen kann.

6. TOFU

Nein, hier geht es nicht ums Essen, sondern um Trust on First Use, was eine alternative zum WOT darstellt. In einer Publikation, an der Werner Koch, der Betreuer von OpenPGP mitgearbeitet hat, heißt es “TOFU offers better practical protection from active MitM attacks for OpenPGP users than the major alternatives, the WoT and X.509-style PKI. Concretely, whereas the WoT offers better theoretical protection than TOFU, in practice it requires too much user support” (https://gnupg.org/ftp/people/neal/tofu.pdf).

Die Aktivierung erfolgt mit einem Eintrag in der Konfigurationsdatei, also z.B. unter .gnupg/gpg.conf: trust-model tofu. Das ist alles. Dann werden Schlüssel verwendet, wenn es keine Widersprüche gibt.

7. Fazit

Neben der Beschaffung von Schlüsseln muss man diese noch überprüfen oder annehmen, dass diese gültig sind. Dabei gibt es mehrere Möglichkeiten. Welche “richtig” ist, muss jeder für sich selbst entscheiden.

OpenPGP - Teil 5 - Schlüsselverwaltung mit GPA

Fri, 01 Apr 2022 19:30:00 +0000

Inhaltsverzeichnis:

Einleitung
Was ist eine OpenPGP-Schlüsselverwaltung?
Was ist ein Schlüsselbund?
Arten von Schlüsselverwaltungen
GPA - Der GNU Privacy Assistant
Fazit

Einleitung

In den vergangenen Artikeln haben wir die theoretischen Grundlagen von OpenPGP behandelt und sind auf einige praktische Beispiele eingegangen. Essentiell für einen produktiven Einsatz von OpenPGP ist jedoch eine Verwaltung der entsprechenden OpenPGP-Schlüssel(paare). Dies erledigt man in aller Regel mit einer Schlüsselverwaltung, also einem Programm, das genau für diesen Anwedungszweck gedacht ist und eine Vielzahl von Funktionen rund um OpenPGP-Schlüssel vereint.

Wenn du bisher nicht alle Artikel unserer OpenPGP-Artikelserie gelesen hast, dann ist dir das nur ans Herz zu legen. Du benötigst mindestens die Informationen aus OpenPGP - Teil 1 - Einleitung und OpenPGP - Teil 2 - Der öffentliche Schlüssel in denen wir die absoluten Basics zu Schlüsseln, deren Funktion und Aufbau erläutern.

Viel Spaß beim Lesen!

Teil einer Artikelserie:

Was ist eine OpenPGP-Schlüsselverwaltung?

Eine OpenPGP-Schlüsselverwaltung ist ein wichtiger Bestandteil, um OpenPGP produktiv einsetzen zu können. Die Kernaufgabe dieser ist, wie der Name schon andeutet, die Schlüsselverwaltung. Dazu zählen Aufgaben wie:

Das Erstellen von Schlüsselpaaren
Das Anpassen von Schlüsseleigenschaften
- Hinzufügen von Identitäten
- Ändern des Ablaufdatums
- …
Das Verteilen von öffentlichen Schlüsseln
- Als Datei
- Hochladen zum Web of Trust
- …
Das Exportieren/Sichern von eigenen Schlüsselpaaren
Das Importieren/Hinzufügen von eigenen Schlüsselpaaren
Das Hinzufügen von fremden, öffentlichen Schlüsseln
- Aus Dateien
- Herunterladen aus dem Web of Trust
- Herunterladen aus dem Web Key Directory
- …
Und so weiter…

Was ist ein Schlüsselbund?

Ein Schlüsselbund bezeichnet die Gesamtheit aller OpenPGP-Schlüssel die man auf dem eigenen Rechner gespeichert hat und mit denen man interagiert. Der Schlüsselbund wird von der Schlüsselverwaltung verwaltet.

Arten von Schlüsselverwaltungen

Es gibt grundlegend zwei Arten von Schlüsselverwaltungen:

Zentrale/Systemweite Schlüsselverwaltung: Ein dediziertes Programm für die OpenPGP-Schlüsselverwaltung, auf das andere Programme, die OpenPGP verwenden, zugreifen können
Programmspezifische Schlüsselverwaltung: Eine im jeweiligen OpenPGP-nutzenden Anwendungsprogramm integrierte Schlüsselverwaltung.

Der Vorteil von ersterer liegt auf der Hand: Der Schlüsselbund wird von einer Instanz verwaltet. Im Gegensatz dazu steht die zweite Option, für die man jeden Schlüssel für jedes etwaige Anwendungsprogramm separat verwalten muss und so doppelt- oder dreifache Arbeit hat.

Jedoch hat auch die zweite Variante einen Vorteil: Sie mindert die Einstiegshürde. Programme können OpenPGP verwenden, ohne dass der Nutzende sich je damit auseinandergesetzt haben muss und ohne dass zuvor OpenPGP auf dem Rechner eingerichtet sein muss.

GPA - Der GNU Privacy Assistant

Was ist GPA?

Der GNU Privacy Assisant (kurz GPA) ist die grafischen Schlüsselverwaltung vom GNU-Projekt und baut auf der OpenPGP-Implementierung GnuPG auf. Sie steht sowohl für diverse Linux-Distributionen, als auch Apple MacOS und Microsoft Windows zur Verfügung. GPA fällt dabei unter die Art der zentralen Schlüsselverwaltung, das heißt sie ist ein dediziertes Programm und dient (wie übrigens GnuPG auch) als Basis/Systemkomponente für andere Programme, die OpenPGP verwenden wollen.

Nachfolgend möchten wir die Einrichtung und einige grundlegende Funktionen vorstellen.

Einrichtung

Linux

GPA ist weit verbreitet und daher in den meisten Linux-Distributionen von Haus aus enthalten, bei allen relevanten Distros unter dem Paketnamen gpa. Erfahrungsgemäß machen allerdings die Linux-Appstores Probleme, wenn der Paketname nur drei Buchstaben hat und auch anhand der Beschreibung findet man GPA nicht immer. Daher empfiehlt sich eine Installation über die Kommandozeile. Für die bekanntesten Paketmanager findest du eine Beschreibung bei uns im Wiki, wie du das bewerkstelligen kannst.

Das Paket gpa installieren

Windows

Unter Windows lässt sich GPA am einfachsten via GPG4Win installieren. GPG4Win ist eine Sammlung von Windows-Programmen für OpenPGP.

Herunterladen auf gpg4win.org. Die Entwicklenden bitten vor dem Download um eine Spende. Wenn du nichts Spenden möchtest, kannst du einfach $0 anwähln.
Den Installer starten, Sprache auswählen und nach eigenen Vorlieben durchklicken
Beim Schritt “Komponenten auswählen” darauf achten, GPA anzuhaken

Bildstrecke: GPA installieren

Schlüsselpaar erstellen

Beim ersten Start bekommt man die Möglichkeit, interaktiv ein neues Schlüsselpaar zu erstellen.

Bildstrecke: GPA einrichten

Privaten Schlüssel bearbeiten

Ablaufdatum und Passwort ändern

Das Ablaufdatum und das Passwort eines geheimen Schlüssels lassen sich komfortabel via GPA-Oberfläche bearbeiten. Dafür wählt man das betreffende Schlüsselpaar via Rechtsklick an und klickt geheimen Schlüssel bearbeiten.

Im folgenden Fenster kann man unter (1) das Passwort anpassen, mit dem der geheime Schlüssel geschützt wird und unter (2) ein Ablaufdatum festsetzen oder ändern.

Öffentliche Schlüssel Anderer bearbeiten

Neben dem eigenen Schlüsselpaar kann man auch andere öffentliche Schlüssel mit GPA bearbeiten. Wieder gelangt man via Rechtsklick auf den entsprechenden Schlüssel zu den spannenden Menüpunkten. Interessant sind vor allem die Punkte (1) Schlüssel signieren und (2) Schlüssel-Vertrauen einstellen.

(1) Schlüssel signieren: Mit dieser Option kann man den öffentlichen Schlüssel anderer mit dem eigenen privaten Schlüssel signieren. Damit bestätigt man die Echtheit dieses öffentlichen Schlüssels und gibt an, dass dieser von der Person stammt, die er angibt. Es ist eine digitale, kryptografische Unterschrift des öffentlichen Schlüssels. Es ist die Basis für das sogenannte “Web of Trust”, was wir uns in einem kommenden Beitrag genauer ansehen werden.

(2) Schlüssel-Vertrauen einstellen präsentiert das folgende Fenster und erlaubt das Festlegen des Schlüsselvertrauens. Das spielt bei der Bewertung von Schlüsselsignaturen eine Rolle, um die Gültigkeit eines öffentlichen Schlüssels zu bewerten. Wenn beispielsweise das Vertrauen “Vollständig” gewählt wurde, vertrauen sie jedem (anderen) öffentlichen Schlüssel, der eine (gültige) Signatur von dem als vetrauenswürdig markierten Schlüssel trägt.

Dateien verschlüsseln

Mit GPA lassen sich nicht nur Schlüssel verwalten, sondern auch direkt Dateien verschlüsseln. Dazu muss man in die Übersicht Dateien wechseln:

Dort findet man eine Dateiübersicht/-verwaltung. Noch ist sie leer. Mit Klick auf Öffnen lassen sich Dateien in die Übersicht hinzufügen.

Hat man Dateien in der Dateiverwaltung hinzugefügt, so kann man sie verschlüsseln, indem man - wie soll es anders sein - auf Verschlüsseln klickt.

Um die Verschlüsselung durchzuführen, muss GPA wissen, für wen es die Datei verschlüsseln soll. Dazu muss man den passenden öffentlichen Schlüssel der Empfängerin oder des Empfängers auswählen. Nur diejenige Person kann die Datei dann noch lesen. Möchte man selbst auch die verschlüsselte Datei wieder öffnen können, muss man die Datei logischerweise also auch an den eigenen öffentlichen Schlüssel verschlüsseln. Wahlweise kann man die Datei zusätzlich signieren, dazu hakt man den gleichnamigen Haken im GPA-Fenster an.

Nach Bestätigung wird die verschlüsselte Datei standardmäßig unter gleichem Dateinamen mit .gpa als Suffix abgespeichert. Diese kann man gefahrlos weitergeben, der Inhalt kann nicht gelesen werden, ohne dass die Datei zuvor entschlüsselt wurde.

Für die Entschlüsselung geht man analog vor, hierzu wählt man statt Verschlüsseln in der Dateiverwaltung Entschlüsseln. Dies klappt nur, wenn man über den privaten Schlüssel zum zugehörigen öffentlichen Schlüssel verfügt, für den die Datei verschlüsselt wurde. Gegebenenfalls muss man ebenso das Passwort des privaten Schlüssels eingeben.

Wer sich speziell für die Verschlüsselung und Entschlüsselung von Dokumenten interessiert, dem/der sei an der Stelle der vierte Beitrag unserer OpenPGP Artikelreihe an das Herz gelegt -> “OpenPGP - Teil 4 - Dokumente verschlüsseln und signieren”.

Fazit

Für alle, die eher auf grafischen Oberflächen unterwegs sind, ist GPA eine sowohl leichtgewichtige als auch mächtige Lösung zur Verwaltung des eigenen Schlüsselbunds. Auch Einsteiger:innen in Sachen OpenPGP kann es GPA durch die grafische Übersicht einiger gängiger Funktionen und Arbeitsweisen von OpenPGP eine Unterstützung sein. Alle Interessenten haben nun mit diesem Beitrag einen Leitfaden für den Einstieg an der Hand und einem Ausprobieren steht nichts mehr im Wege.

OpenPGP - Teil 4 - Dokumente verschlüsseln und signieren

Tue, 01 Mar 2022 19:30:00 +0000

Inhaltsverzeichnis:

Einleitung
Signaturen in LibreOffice Writer
- Dokumente signieren
- Signaturen anzeigen
Ver-/Entschlüsselung in LibreOffice Writer
- Dokumente verschlüsseln
- Dokumente entschlüsseln
Fazit
Literatur und Quellen

Einleitung

LibreOffice ist eine freie und quelloffene Büroprogrammsammlung und eine der bekanntesten Alternativen zum weitverbreiteten Microsoft Office. Sie umfasst unter anderem:

Writer, eine Textverarbeitung
Calc, eine Tabellenkalkulation
Impress, ein Präsentationsprogramm
Draw, ein Zeichnenprogramm

Auch Dateien, die mit LibreOffice erstellt wurden, können mit OpenPGP signiert und verschlüsselt werden. Dabei ist OpenPGP direkt in die Oberfläche der LibreOffice-Programmsammlung integriert und kann so komfortabel verwendet werden. Wir zeigen das Vorgehen, um eine LibreOffice-Datei mit OpenPGP zu signieren und zu verschlüsseln am Beispiel von LibreOffice Writer.

Teil einer Artikelserie:

Signaturen in LibreOffice Writer

OpenPGP kann in LibreOffice für die Signatur von Dokumenten verwendet werden, ebenfalls kann man direkt in der LibreOffice-Oberfläche bestehende Signaturen und den Signaturstatus einsehen. Wie das funktioniert, zeigen wir folgend.

Dokumente signieren

Um eine geöffnetes Dokument zu signieren, wählen wir Datei → Digitale Signaturen → Digitale Signaturen im Menü. Die Datei muss gespeichert werden, bevor sie signiert werden kann.

Wir bekommen ein Fenster angezeigt, welches alle bestehenden Signaturen des Dokuments anzeigt und zu Beginn noch leer ist.

Entscheidend ist dort die Möglichkeit das Dokument mit der Schaltfläche Dokument signieren zu signieren. Es werden alle eigenen (privaten) Schlüssel angeboten und man kann wählen, welchen man für die Signatur verwenden möchte:

Wir wählen den Schlüssel aus, den wir zum Signieren des Dokuments verwenden wollen.

Bestätigt man mit Klick auf Signieren, wird das Dokument nach der Eingabe der Passphrase des OpenPGP-Schlüssels signiert. Das führt zu einem neuen Eintrag in der Liste unter Digitale Signaturen.

Signaturen anzeigen

Ebenfalls über Datei → Digitale Signaturen → Digitale Signaturen - und wie schon im vorherhigen Absatz angerissen - lassen sich alle Signaturen des Dokuments anzeigen. In unserem Beispiel ist dort die Signatur, die wir eben erstellt haben zu sehen:

Direkt nach dem Öffnen eines Dokuments wird angezeigt, ob die Signatur gültig ist oder ob es sich um eine ungültige Signatur handelt. Ob eine Signatur gültig ist oder nicht wird dabei von dem Signatursystem, in unserem Fall OpenPGP bestimmt. Gültig ist eine Signatur beispielsweise, wenn du den zugehörigen öffentlichen Schlüssel im Schlüsselbund gespeichert hast und dieser gültig ist.

Die Signaturen lassen sich auch über Datei → Eigenschaften öffnen:

Ver-/Entschlüsselung in LibreOffice Writer

Neben dem digitalen Signieren lassen sich Dokumente in LibreOffice auch mithilfe von OpenPGP ver- und entschlüsseln. Dabei kommt, wie oft in der Praxis, ein hybrides Verschlüsselungsverfahren zum Einsatz. Das bedeutet, dass Dokument an sich wird mit einem symmetrischen Verschlüsselungsverfahren verschlüsselt und OpenPGP dient dann nur dazu, den symmetrischen “Session”-Schlüssel zu verschlüsseln. Beides ist in der LibreOffice-Datei gespeichert. So weden die Vorteile beider Verfahren kombiniert und eine effiziente Ver-/Entschlüsselung möglich.

Dokumente verschlüsseln

Um die OpenPGP-Verschlüsselung zu verwenden, steht die Option Mit GPG-Schlüssel verschlüsseln zur Verfügung und wird beim Abspeichern des Dokuments als Checkbox angeboten. Wenn das Dokument zuvor schon abgespeichert war, bekommt man die Option ebenfalls durch Wählen von Datei → Speichern unter angeboten und kann so eine verschlüsselte Kopie anlegen.

Wie auch sonst muss OpenPGP erfahren, welche öffentlichen Schlüssel verwendet werden sollen. Bei einer E-Mail gibt es Empfänger:innenangaben, die dafür verwendet werden können. Bei einer Datei gibt es die nicht, sodass man diese auswählen muss:

Mit Klick auf Verschlüsseln wird das Dokument verschlüsselt abgespeichert. Nur die Personen, die soeben ausgewählt wurden, können das Dokument entschlüsseln und somit lesen.

Beachte: Das schließt auch dich selbst ein! Wenn du das Dokument nicht auch für dich verschlüsselt hast, wirst du es nicht mehr öffnen können!

Dokumente entschlüsseln

Um ein verschlüsseltes Dokument zu entschlüsseln, ist keine dedizierte Aktion notwendig. Man wird beim Öffnen automatisch zur Eingabe der Passphrase aufgefordert, woraufhin man ganz normal mit dem Dokument arbeiten kann. Voraussetzung ist natürlich, dass OpenPGP eingerichtet ist und man über das Schlüsselpaar bzw. den privaten Schlüssel verfügt, für das das Dokument verschlüsselt wurde.

Im Hautpfenster von LibreOffice werden verschlüsselte Dokumente mit einem kleinen Schloss angezeigt. Beispielsweise auch unser zuvor verschlüsseltes Beispieldokument:

Fazit

Grundsätzlich kann OpenPGP mit beliebigen Dateien arbeiten. Komfortabler wird es allerdings, wenn das Anwendungsprogramm mit OpenPGP zusammenarbeitet, so wie es z.B. bei LibreOffice der Fall ist. Durch die Integration von OpenPGP in die Oberfläche von LibreOffice ist es so niedrigschwellig und ohne nennenswerte Einschränkung möglich, mit Verschlüsselung und Signaturen bei elektronischen Dokumenten zu arbeiten.

Literatur und Quellen

OpenPGP - Teil 3 - E-Mails verschlüsseln und signieren

Tue, 01 Feb 2022 19:18:00 +0000

Inhaltsverzeichnis:

Einleitung
Wozu OpenPGP bei E-Mails?
Die Möglichkeiten, OpenPGP in E-Mails zu verwenden
OpenPGP mit Claws-Mail
Fazit
Ausblick
Literatur und Quellen

Einleitung

E-Mails sind i.d.R unverschlüsselt. Jede:r der Zugriff auf eine E-Mail hat, kann den Inhalt lesen und verändern. E-Mail-Provider können den Inhalt von E-Mail analysieren und auswerten. Dies kann anonyme aber auch pseudonymisiert erfolgen. Auch E-Mails mit gefälschtem Absender oder gefälschter Absenderin können ein Problem sein. Für die sichere Kommunikation ist das keine guten Voraussetzung. Abhilfe kann OpenPGP schaffen, das wir in Grundzügen schon in den ersten beiden Teilen dieser Artikelserie vorgestellt haben (OpenPGP - Teil 1 - Einleitung und OpenPGP - Teil 2 - Der öffentliche Schlüssel).

Teil einer Artikelserie:

Wozu OpenPGP bei E-Mails?

Mit OpenPGP lässt sich die E-Mail-Kommunikation sicherer gestalten:

Mit OpenPGP lassen sich E-Mails verschlüsseln. Das dient dem Schutzziel der Vertraulichkeit, damit die E-Mail nur von dem bestimmten Empfänger oder der Empfängerin gelesen werden kann.
Mit OpenPGP lassen sich E-Mails signieren. Dies dient dem Schutzziel der Integrität, damit die Senderin oder der Sender einer Nachricht fälschungssicher festgestellt werden kann.

Die Möglichkeiten, OpenPGP in E-Mails zu verwenden

Viele E-Mail-Programme unterstützen auf dem einen oder dem anderen Weg OpenPGP:

Manche E-Mail-Programme bringen OpenPGP-Unterstützung von Haus aus mit
Bei anderen wiederum lässt es sich mittels Erweiterung oder Plugin nachrüsten

Darüberhinaus gibt es noch eine weitere wichtige Unterscheidung, die beachtet werden muss: Die Schlüsselverwaltung. Um OpenPGP zu nutzen, benötigt es neben dem eigenen Schlüsselpaar die öffentlichen Schlüssel der Kommunikationpartner:innen. Diese wollen von dir verwaltet werden:

Manche E-Mail-Programme integrieren sich in eine zentrale Schlüsselverwaltung auf deinem PC, wie bspw. das in den vorherigen Teilen verwendete GPG oder GPA.
Andere E-Mailer wiederum integrieren eine seperate Schlüsselverwaltung.

Oft unterscheidet sich die Verwendung der verschiedenen Optionen nur bei der Einrichtung. Ist es einmal eingerichtet, kann OpenPGP verwendet werden.

OpenPGP mit Claws-Mail

Folgend zeigen wir die Einrichtung von OpenPGP mit Claws Mail. Claws Mail greift auf die OpenPGP-Schlüsselverwaltung von deinem System zurück, du musst diese also schon eingerichtet haben (das haben wir in OpenPGP Teil 1 angerissen, dort findet sich auch ein Link zu einer Beschreibung dafür im Wiki).

Hinweis: Falls du noch kein Claws Mail verwendest, findest du in unserem Wiki eine Beschreibung wie du es sowohl für Linux als auch Windows einrichten kannst.

OpenPGP aktivieren

Die Verwendung von OpenPGP ist in claws-mail mit den Plugins PGP/Core, PGP/inline und PGP/MIME möglich. Diese müssen dafür aktiviert sein. In den Konto-Optionen lassen sich nun Einstellungen im Abschnitt Datenschutz und im Abschnitt Plugins/PGP vornehmen.

OpenPGP Standardeinstellungen treffen

Nun wo uns OpenPGP in Claws Mail zur Verfügung steht, wollen wir das Standardverhalten des E-Mail Clients konfigurieren. Wir verwenden in unserem Beispiel PGP MIME und wählen alle Optionen aus.

Nachrichten immer signieren
Nachrichten immer verschlüsseln
Nachrichten stets signieren, wenn eine signierte Nachricht beantwortet wird
Nachrichten stets verschlüsseln, wenn eine verschlüsselte Nachricht beantwortet wird
Nachrichten zusätzlich zum fremden mit eigenem Schlüssel verschlüsseln

Im Abschnitt Plugin/GPG wählen wir die Option “Schlüssel nach Ihrer E-Mail-Adresse wählen”. Abhängig von der verwendeten Absenderadresse wird der jeweilige OpenPGP Key verwendet.

Verschlüsselte E-Mails schreiben

Die Grundkonfiguration ist jetzt eingerichtet und wir können mit dem Schreiben von verschlüsselten E-Mail beginnen.

Bei dem Verfassen von E-Mails ändert sich für die Benutzenden nichts. Der Benutzende wählt die E-Mail-Adresse des Empfangenden aus und gibt ein Betreff ein. Dann kann er/sie mit dem Schreiben der E-Mail wie gewohnt beginnen. Die Einstellungen lassen sich im Menü “Optionen” anpassen.

Beachte: Nicht alle Daten innerhalb einer E-Mail werden verschlüsselt. Informationen im “Header” einer E-Mail sind nicht verschlüsselt. Dazu zählen unter anderem Absender, Empfänger, Betreff und Datum. Man sollte also drauf achten, dass bei einer verschlüsselten E-Mail keine sensiblen Informationen im Betreff sind.

Konnte kein Schlüssel auf deinem Schlüsselbund dem Empfangenden eindeutig zugeordnet werden, muss der Benutzende den öffentlichen Schlüssel des Gegenübers auswählen.

Verschlüsselte E-Mails empfangen

Bei Empfang einer verschlüsselten Nachricht, wird ein Schlüssel in der Liste der E-Mails angezeigt. Diese E-Mail kann nur gelesen werden, wenn der Benutzende Zugriff auf den privaten Schlüsselt hat, der zu dem öffentlichen Schlüssel gehört, mit dem die E-Mail verschlüsselt wurde.

Im unteren Bereich findet man ein Schloss mit der Beschriftung “Gültige Signatur von …”. Dies ist die Prüfung der Signatur des Absenders. Es gibt an, dass die E-Mail von der Person unterschrieben wurde.

Fazit

Auch wenn OpenPGP nicht ganz intuitiv ist, sind die Vorteile nicht von der Hand zu weisen. Es lohnt sich also die Einarbeitungszeit zu Anfang, denn einmal eingerichtet und angewöhnt, wirst du merken, dass es doch gut und gewohnt von der Hand geht. Von dem her bleibt dir nur anzuraten, diesen Artikel zu Herzen zu nehmen und es einmal auszuprobieren.

Ausblick

Nun sind wir in der Artikelserie schon in der praktischen Anwendung von OpenPGP angekommen. Das werden wir in zukunftigen Artikeln ausführen, unter anderem mit folgenden Themen:

Schlüssel mit OpenPGP verwalten
LibreOffice Dokumente mit OpenPGP verschlüsseln
Und noch weitere…

F-Droid als App-Bezugsquelle

Thu, 02 Dec 2021 17:35:00 +0100

Inhaltsverzeichnis:

Einleitung
Was ist F-Droid?
Das F-Droid-Projekt & die Leute dahinter
F-Droid verwenden
Für Forgeschrittene: F-Droid Dritt-Paketquellen
Fazit
Literatur und Quellen

Einleitung

Die meisten im Handel zu erwerbenden Android-Smartphones kommen von Haus aus mit einer ganzen Reihe von Google-Applikationen und -Services, ganz prominent darunter der Google PlayStore. Fast jede:r Android-Nutzende hat wohl ein Google-Konto und sei es nur für den PlayStore. Denn per Standard hat man keine Wahl - möchte man Apps, soll man ein Google-Konto erstellen. Das birgt jedoch einige Probleme:

Man braucht ein Google-Nutzendenkonto und ist daher an Googles Bedingungen gebunden.
Das App-Installationsverhalten und die App-Installationen werden von Google nachverfolgt und ausgwertet
Die App-Auswahl im Google-Store beinhaltet propritäre und quelloffene Applikationen nebeneinander. Apps zu finden, die quelloffen sind, ist nicht immer ganz einfach, es gibt keinen verlässlichen Filter oder eine Kategorie. Lediglich der Titel oder die Beschreibung kann einen Anhaltspunkt sein.
Die App-Auswahl im Google-Store beinhaltet datenschutzfreundliche und datenschutzinvasive Applikationen, ohne es sauber auseinanderhalten zu können
Die App-Auswahl im Google-Store ist auch ein beliebtes Ziel für Schadsoftware, wie es sie in der Vergangenheit schon desöfteren gegeben hat

Daher wäre eine alternative App-Bezugsquelle interessant und lohnenswert. Eine solche ist zum Beispiel F-Droid, welche wir nachfolgend im Detail beschreiben möchten.

Was ist F-Droid?

F-Droid ist ein alternativer App-Store und App-Katalog für Android. Was F-Droid selbst dazu schreibt:

F-Droid is an installable catalogue of FOSS (Free and Open Source Software) applications for the Android platform. The client makes it easy to browse, install, and keep track of updates on your device.

Quelle: F-Droid Webseite

F-Droid besteht aus den folgenden Komponenten.

F-Droid App: Die F-Droid App ist sozusagen der “App-Store” auf deinem Handy. Mit der F-Droid App kannst du Apps installieren und verwalten, wie mit dem PlayStore auch.

F-Droid Repository: Das F-Droid Repository ist der App-Katalog, der in der F-Droid App zur Verfügung steht. Ganz einfach gesagt eine Liste von Apps, die heruntergeladen und installiert werden kann.

Weitere F-Droid Repositories: Die oben angerissene Unterschiedung zwischen F-Droid App und F-Droid Repository ist wichtig, denn sie bietet einen entscheidenden Vorteil gegenüber dem PlayStore: Neben dem offiziellen F-Droid Repository kann man weitere Repositories in der F-Droid App hinzufügen, die jeweils weitere Apps anbieten können! Prinzipiell kann jede:r so ein Repository mit beliebigen Apps anbieten.

Das offizielle F-Droid Repository

Das standardmäßig mit F-Droid eingerichtete Repository ist das offizielle vom F-Droid-Projekt.

Inhalt des Repos:

Es enthält ausschließlich quelloffene Apps. Die Apps werden außerdem selbständig vom F-Droid Team gebaut → das bedeutet, die Installationsdatei wird vom F-Droid Team aus dem Quelltext erzeugt, damit sichergestellt ist, dass nur genau dieser Quelltext ausgeliefert wird.

Eine Ausnahme bieten sogenannte reproduzierbare Builds, bei diesen wird die reproduzierbare Installationsdatei ausgeliefert. Das bedeuet, dass man prüfen kann, ob das Bauen des Quelltexts die gleiche Installationsdatei liefert, wie die von den Entwickelnden zur Verfügung gestellte und kann so sichergehen, dass genau dieser Quelltext ausgeliefert wird.

Den Quelltext der Apps selbst kann man bedingt durch die Quelloffenheit selbstverständlich auch herunterladen.

Qualitätsmerkmale der aufgenommenen Apps und Transparenz:

Wie beschrieben werden ausschließlich quelloffene Apps zur Verfügung gestellt. Es findet aber noch eine weitere Unterscheidung statt. Der Idealzustand ist, dass die komplette angebotene Software zusätzlich vollständig frei wie in Freiheit und ohne Tracker ist. Ist eines der Merkmale nicht gegeben, wird das durch die sogenannten “Anti-Features” in der App-Übersicht bekanntgegeben. Folgende Antifeatures gibt es:

Werbung: Die App beinhaltet Werbung
Tracking: Die App beinhaltet Tracking → meldet deine Nutzendenaktivität irgendwohin. Das Antifeature wird vergeben, auch wenn das Tracking abgeschaltet werden kann. Ist es per Standard aus, wird es nicht vergeben.
Unfreie Netzwerkdienste: Die App hängt von unfreien Netzwerkdiensten ab oder untersützt diese. Das bedeutet, dass die App zum Funktionieren bzw. für einige Funktionen Internetdienste braucht, die nicht quelloffen und/oder nicht frei sind.
Unfreie Addons: Unterstützt unfreie Apps oder Plugins.
Unfreie Abhängigkeiten: Braucht unfreie Applikationen zum Funktionieren. (Bspw. Google Maps.)
Unfreies Upstream: Der “upstream” Quelletext ist unfrei. Das bedeutet, dass die “Originalapp” um diese unfreien Teile bereinigt wurde und diese bereinigte Version in F-Droid angeboten wird.
Unfreie Inhalte: Enthält unfreie Inhalte, die kein Quelltext sind. Beispielsweise Bilder, Audio, Video.
Bekannte Sicherheitslücke: Die App enthält eine bekannte Sicherheitslücke
Deaktivierter Algorithmus: Die App wurde mit einem unsicheren Algorithmus signiert.
Kein Quelltext seit: Der Quelltext steht nicht mehr zu Verfügung, weswegen es keine Updates mehr geben wird.

Das F-Droid Projekt & die Leute dahinter

Hinter F-Droid steht die gemeinnützige, britische Organisation F-Droid Limited. Das Projekt wird vollständig von Freiwilligen gestemmt. Alle Inhalte von F-Droid sind frei und quelloffen. Dazu zählt die Webseite, die Grafiken und das Logo sowie die Android-App und Repository-Software. Das F-Droid Projekt selbst findet man folgend:

F-Droid verwenden

F-Droid installieren

Alles, was man machen muss, um F-Droid einzurichten, ist die F-Droid-App zu installieren. Da die App nicht im Google PlayStore verfügbar ist (Google mag keine alternativen AppStores) muss man die Installationdatei von der Webseite herunterladen und installieren. Standardmäßig verbietet Android das, man wird aber bei der Installation gefragt, ob man es erlauben möchte. Keine Angst, F-Droid ist für Google zwar “unbekannt”, aber nicht “böse”, wie Android gerne versucht, den Eindruck zu erwecken!

Bildstrecke: F-Droid installieren

Apps installieren

Apps endecken Bei F-Droid gibt es inzwischen hunderte von quelloffenen Apps und es werden immer mehr. Es finden sich echte Goldperlen unter dem reichhaltigen App-Angebot. Daher lohnt es sich, einfach mal in der App-Auswahl zu stöbern. Um Apps aufzufinden, gibt es neben der gezielten Suche verschiedene Wege:

Bildstrecke: F-Droid: Apps entdecken

Apps installieren Wenn du eine App installieren möchtest, funktioniert das sehr ähnlich wie zum Google PlayStore. App heraussuchen - installieren klicken - fertig! Nachfolgend nochmal im Detail mit Bildschirmfotos beschrieben.

Bildstrecke: F-Droid: Apps installieren

Apps aktualisieren

App-Aktualisierungen gehen bei F-Droid standardmäßig nicht automatisch! Es ist daher wichtig, dass du deine Apps selbst aktuell hälst. Bei verfügbaren Aktualisierungen bekommst du eine Benachrichtigung. Genauso kannst du über den Tab “Aufgaben” in der F-Droid App die verfügbaren Aktualisierungen einsehen. Du musst due Updates dann über Druck auf “Installieren” einzeln anwenden.

Bildstrecke: F-Droid: Apps aktualisieren

Für Forgeschrittene: F-Droid Dritt-Paketquellen

Da F-Droid vollständig quelloffen ist, steht es jedem und jeder frei eigene F-Droid-Repositories mit weiteren Apps zur Verfügung zu stellen. Neben dem offiziellen F-Droid Repository, das standardmäßig aktiviert ist, gibt es eine ganze Reihe an weiteren Repositores. Diese dienen verschiedenen Zwecken, zum Beispiel können sie Apps enthalten, die nicht den Qualitätsansprüchen von F-Droid gerecht werden, deren Aufnahme noch Anpassungen an der App erfordern, die propritär sind oder die aus anderen Gründen nicht in F-Droid zu finden sind.

Qualitätskriterien bei Drittquellen

Die Drittquellen sind von dem offiziellen F-Droid Repositorium und dem F-Droid Projekt unabhängig. Das bedeutet, dass die Apps nicht vom F-Droid Projekt verfiziert und geprüft werden und auch, dass nicht zwingend die gleichen Ansprüche an die App-Qualität, speziell hinsichtlich Quelloffenheit und Datenschutz, gestellt werden. Du solltest dich also vor dem Hinzufügen einer Drittquelle also genau informieren von wem sie angeboten wird, was für Apps sie enthält und was du von den Apps erwarten darfst. Eine Installation aus einer weiteren Paketquelle ist vergleichbar mit dem Herunterladen einer App von der entsprechenden Webseite. Man sollte sich überlegen, inwiefern man der Quelle vertraut und welche Berechtigungen für die App plausibel sind. Genauso wie es eine schlechte Idee ist unbekannte E-Mail-Anhänge zu öffnen, ist es eine schlechte Idee unbekannte Drittquellen hinzuzufügen.

Für fortgeschrittene Anwender:innen bietet die Funktion, zusätzliche Paketquellen hinzuzufügen, aber interessante Möglichkeiten. Das wollen wir dir nicht vorenthalten. Denkbar wäre zum Beispiel, sich die benötigten Apps automatisiert selbst bauen und in einer eigenen Paketquelle auf das Handy zu transferieren. Oder eine unternehemseigene Paketquelle für unternehmensinterne Applikationen. Aber auch der Dezentralität kann das zu Gute kommen und ermöglicht beispielsweise das Betreiben eines eigenen Spiegels des offiziellen F-Droid Repositoriums im Heimnetzwerk für die Familie und/oder Freunde.

Zusätzliche Paketquellen werden nativ von der F-Droid App unterstützt, du kannst beliebige weitere F-Droid Repositores hinzufügen:

Bildstrecke: Weiteres F-Droid Repository hinzufügen

Fazit

F-Droid ist eine wunderbare App-Quelle, wenn man beides - quelloffene Applikationen und transparenten Datenschutz - schätzt. An beide Kriterien stellt F-Droid die höchsten Ansprüche, geht mit gutem Beispiel voran und ermöglicht es dir, deine App-Auswahl bewusster und besser zu gestalten. Es finden sich viele empfehlenswerte Anwendugnen im F-Droid, auch die meisten derer, die wir bei uns auf Anoxinon Media vorstellen, sind im F-Droid zu finden, teilweise sogar exklusiv. Einmal eingerichtet, kann man sich so wunderbar einem großen und beständig wachsenden Katalog an interessanten Apps bedienen, ohne von Google abhängig zu sein.

Literatur und Quellen

Backups - theoretische Grundlagen

Thu, 04 Nov 2021 11:30:00 +0000

An Backups denkt man spätestens dann, wenn man sie braucht. Das Problem ist natürlich, dass man sie schon vorher erstellen muss, damit die dann verfügbar sind, wenn es soweit ist und man darauf zurückgreifen möchte. Natürlich gibt es Programme und Dienste, die einfache und schnelle Lösungen versprechen. Die einfache 1-mal-klicken-und-sorgenfrei-Leben-Lösung gibt es allerdings nicht.

Ursachen für Datenverluste

Zunächst betrachten wir mal eine kurze Liste, was alles zum Datenverlust führen kann:

Bedienfehler
- falsche Dateien gelöscht
Softwarefehler
- beim Ändern tritt ein Fehler auf und danach gibt es weder die alte noch die neue Version
- ein Fehler im Betiebssystem zerstört das Dateisystem
Hardwarefehler
- Festplatte/SSD hört durch Alterserscheinungen auf zu funktionieren
Verlust der Hardware
- selbstverschuldet durch das Vergessen im öffentlichen Raum
- nicht selbstverschuldet durch Einbrecher
Umweltfaktoren
- Spannungsspitze im Stromnetz zerstört die Hardware
- Wohnungsbrand/Hochwasser zerstört die Hardware
Schadsoftware
- “Verschlüsselungstrojaner”

Nicht alle Einträge der Liste sind gleich wahrscheinlich. Die Risiken sind auch von den konkreten Umständen abhängig: eine alte HDD, die schlecht behandelt wurde hat sicherlich ein höheres Ausfallrisiko als ein neueres Exemplar. Wer gerne ausführbare E-Mail-Anhänge öffnet wird auch eher mal einen Verschlüsselungstrojaner in live erleben können.

Wichtig ist: Egal wie vorsichtig man ist oder wie günstig die Umstände sind: Die Risiken werden nie auf null sinken.

Ich mache doch nichts Wichtiges am Computer!

Man kann durchaus glauben, dass ein Datenverlust kein Problem darstellt. Wenn es dann zu einem Datenverlust kommt wird man schnell eines besseren belehrt: alte Fotos, Bookmarks zu mühsam gefundenen Internetseiten, gespeicherte Passwörter oder auch Spielstände - all das gibt es.

Kein Computer bedeutet hier keine Ausrede: Wenn man alles per Smartphone oder Tablet-Computer macht dann liegen dort die wichtigen Dateien, die man nicht unbedingt verlieren möchte.

Verschiedene Datenträgertypen

Sicherungen und das zugehörige Original sollten möglichst auf ungleichen Datenträgern liegen. Wenn eine bestimmte Bauart durch eine bestimmte Eigenschaft in bestimmten Situationen ausfällt, dann ist es von Vorteil, wenn dass nicht das Original und die Sicherungen genau im gleichen Moment trifft. Der gleiche Grund sorgt dafür, dass die Datenträger nicht zusammen angeliefert werden sollten, damit nicht beide die gleichen Transportschäden erleiden.

Georedundanz

Die Umweltfaktoren machen es erforderlich, Kopien an verschiedenen Orten zu speichern. Das meint aber nicht, dass man einen Laptop auf einem Schreibtisch und eine externe Festplatte mit der Kopie im Keller liegen hat. Wenn das Haus brennt sieht es für beide Exemplare schlecht aus. Je größer der physikalische Abstand der Kopien ist, desto besser.

Offline-Backup

Die Bedienfehler und Schadsoftware verbieten es wiederum, dass das Backup immer erreichbar ist. Wenn man versehentlich alles löscht und die externe Festplatte mit den Sicherungen angeschlossen ist, dann sind die wohl oder übel auch gelöscht.

Man braucht also eine Kopie, die nur genau dann erreichbar ist, wenn man ein Backup erstellt oder man Daten wiederherstellen möchte. Das bedeutet wiederum, dass die Backups nicht vollständig selbstständig durchgeführt werden können und die Mithilfe des Benutzers benötigt wird.

Zeitplanung

Wer nach dem Lesen des Artikels panisch wird, sich eine Festplatte kauft, alles was er hat darauf kopiert und diese dann weglegt, der hat nicht viel gewonnen. Warum? Alles, was seit der letzten Sicherung gemacht wurde, ist nicht gesichert. Wenn der Rechner ein Jahr später defekt ist, dann sind alle aktuellen Dateien weg.

Hier muss man also abwägen, wie viel man zu verlieren hat und wann das nächste Backup spätestens stattfinden soll. Umgekehrt sinkt die Nützlichkeit vom Offline-Backup, wenn es einmal in der Stunde angeschlossen wird. Man kann sich auch überlegen, ob man Sonderbackuptermine, z.B. vor Reisen, einführt.

Qualitätssicherung

Dass man ein Backup erstellt hat bedeutet erst einmal Nichts. Wer sagt, dass sich das am Ende auch wiederherstellen lässt oder das die wichtigen Dateien darin überhaupt enthalten sind?

Einen Wiederherstellungstest machen einige Backuptools selbstständig bei der Erstellung einer neuen Sicherung. Ob das Wiederhergestellte benutzbar ist und ob alles, was wichtig ist, im Backup enthalten ist, kann kein Programm für den Benutzer prüfen. Da muss man selbst tätig werden: Nicht nur nach der Einrichtung; auch später muss man immer wieder prüfen, ob immer noch alles so funktioniert wie man es sich gedacht hat, z.B. wenn man wichtige Dateien irgendwann mal in einem Ordner speichert, den man bei der Einrichtung für unwichtig hielt und deshalb von der Sicherung ausgenommen hat.

Verschlüsselung

Auch an dem Verschlüsselungsthema kommt man beim Backup nicht vorbei und auch hier muss man sich gut überlegen, ob und mit welchem Schlüssel man das Backup verschlüsselt.

Wenn man eine Verschlüsselung verwendet, dann muss man regelmäßig sicherstellen, dass man den Schlüssel kennt oder so abgelegt hat, dass man bei Bedarf einen Zugang dazu hat, auch nach einem Datenverlust.

Ein Backup, dass keine personenbezogene oder anderweitig sensible Daten enthält, ist eine Seltenheit. Wenn man also auf die Verschlüsselung verzichtet, dann sollte man sich gut überlegen, wo man es lagert und wie dieser Ort abgesichert ist.

Ein Wort zur Wolke

Eine Wunderlösung ist die Speicherung von Backups in Online-Speichern nicht. Es kann sein, dass der Online-Speicher alte Dateiversionen vorhält und deren Löschung verhindert, aber das muss nicht so sein. Es besteht also das Risiko, dass Daten im Online-Speicher durch einen Bedienfehler des Benutzers oder Schadsoftware beim Benutzer gelöscht werden. Man sollte sich daher gut überlegen, ob ein Online-Speicher als einziger Ort für eine Datensicherung ausreichend ist oder eher nicht.

Der Mehrwert durch die Möglichkeit, jederzeit und von überall auf die eigenen Dateien zuzugreifen, kostet oft eine monatliche Gebühr. Hier sollte man sich überlegen, ob eine externe Festplatte, bei der man unter 100 Euro schon Speicherplatz im Terrabyte-Bereich bekommt, langfristig günstiger ist.

Neben dem Preis hat man eine eigene Festplatte auch deutlich besser unter Kontrolle als einen gebuchten Speicher in einem fernen Rechenzentrum.

Synchronisationstools als Teil einer Backupstrategie

Eine Synchronisation ersetzt kein Backup. Ein Backup dient der Wiederherstellung nach einem Unfall. Wenn nun der Unfall auf alle anderen Geräte synchronisiert wurde, dann hat man Nichts gewonnen. Eine Synchronisation hilft (wie auch eine Spiegelung über mehrere Datenträger) dann, wenn ein Datenträger plötzlich vollständig ausfällt, weil man dann noch mindestens eine weitere Kopie hat. Löscht man hingegen die falsche Datei, dann wird auch die Löschung synchronisiert.

Die Verwaltung von Backups kann allerdings dadurch erleichtert werden, dass man per Synchronisationstool alles auf einen Computer speichert und dort dann zentral ein Backup erstellt wird. Dann muss man nur noch einen Computer sichern.

Snapshots als Teil einer Backupstrategie

Ein Snapshot ist eine Funktion vom Dateisystem oder einer darunter liegenden Ebene, mit der eine “Kopie” des aktuellen Zustandes erstellt werden kann. Schlaue Snapshotfunktionen arbeiten nach dem Copy-on-Write-Prinzip. Das Snapshot ist dabei keine Kopie, sondern ein Hinweis an das System, dass bei jeder Änderung die alte Version aufgehoben werden soll und die neue Version an eine andere Stelle geschrieben werden soll. Das spart Speicherplatz und ermöglicht das Aufbewahren von vielen Snapshots, aber ist eine schlechte Grundlage für ein Backup, da die Daten danach weder mehrfach auf einem Datenträger noch auf mehreren verschiedenen Datenträgern liegen.

Als Ergänzung und Unterstützung von Backups eignen sich Snapshots wiederum. Wenn nur ein Bedienfehler gemacht wurde und dieser über der Ebene erfolgt ist, die die Snapshots verwaltet, dann kann man die verlorenen Daten aus einem Snapshot wieder hervorholen. Beim Erstellen eines Backups ist als Quellordner ein Snapshot von Vorteil, weil sich dieses nicht während der Erstellung des Backups verändert. Damit kann man z.B. nach dem Anlegen eines Backups prüfen, ob die Quelle und das Ziel die gleichen Daten enthalten, ohne dass in der Zwischenzeit durchgeführte Änderungen das Ergebnis verfälschen.

Unvollständige Backups?

Bei den Snapshots gibt es das Copy-on-Write, und bei Backups lässt sich etwas ähnliches machen. Dann hat man kein Full-Backup sondern ein inkrementelles oder differentielles Backup. Abhängig von der verwendeten Variante sichert man dann den Unterschied verglichen zum vorherigen Backup (inkrementell) oder zum vorherigen vollständigen Backup (differentiell).

In beiden Fällen sollte man irgendwann wieder einmal ein vollständiges Backup anlegen. Entweder, damit das nächste Backup wieder kleiner wird, oder, damit man keine zu lange “Backupkette” hat, die keine defekten Stellen aufweisen darf und die bei einer Wiederherstellung vollständig abgearbeitet werden muss. Denn eins ist wichtig: Das Backup sollte nicht nur vorhanden, sondern auch in einer angemessenen Zeit wiederherstellbar sein, sonst erfüllt es seinen Zweck nicht.

Langzeitarchivierung

Backups belegen Speicherplatz. Nun könnte man auf die Idee kommen, dass man alle Backups, die älter als zwei Wochen sind, wieder überschreibt, weil man dann ja genug Zeit zur Wiederherstellung hatte. Das funktioniert bei Daten mit denen man täglich arbeitet - hier bemerkt man schnell, wenn etwas fehlt. Das ist aber nicht anders als bei der Speicherhierarchie im Rechner - es gibt meistens wenig Daten die man oft benutzt und viele Daten, die man selten benutzt. Es wird nicht immer wahrgenommen, wenn Daten verloren gehen: Defekte Speicherzellen oder Sektoren betreffen nun einmal nicht alle Dateien und nicht jeder Bedienfehler fällt sofort auf.

Die Lösung sind verschiedene Backupstufen mit anderer Aufbewahrungsdauer. Für die häufig verwendeten und bearbeiteten Dateien mag ein tägliches Backup sinnvoll sein, und das ist nach zwei Wochen schon wieder völlig obsolet. Nun kann man aber zusätzlich ein wöchentliches, monatliches und sogar jährliches Backup erstellen, dass man länger aufbewahrt. Klar, Dateien die man ständig ändert lassen sich daraus nicht wiederherstellen, aber selten betrachtete Dateien sind so auch nach längerer Zeit noch wiederherstellbar.

Fazit

Backups sind nervig aber dennoch wichtig. Das Wichtigste dabei ist es, einen Überblick zu haben: über die Bedrohungen, vor denen man sich schützt, die Daten, die man sichert, und auch über die eigene Strategie, die man zur Sicherung verwendet.

Sichere Logins - Teil 3 - Zwei-Faktor Authentifizierung

Wed, 01 Sep 2021 00:00:00 +0000

Sichere Logins - Teil 3 - Zwei-Faktor-Authentifizierung

Inhaltsverzeichnis:

Einleitung
Zusätzliche Absicherung von Logins
Arten von zweiten Faktoren
Zeitbasierte Einmalkennwörter
Grenzen von TOTP/HOTP
Die Praxis zur Theorie - zeitbasierte Einmalkennwörter verwenden
Fazit

Einleitung

Die Bildschirmsperre beim PC und Laptop oder die Anmeldung beim E-Mail-Konto, beim Online-Banking oder beim Online-Shopping - heutzutage nutzt fast jeder unzählige digitale Geräte und Dienste, bei denen man sich in irgendeiner Weise einloggen - authentifizieren - muss. Das ist auch gut so, denn nur so kann sichergestellt werden, dass Deine digitalen Dienste nicht von anderen in Deinem Namen missbraucht werden. Logins sind ein elementarer Bestandteil in der digitalen Welt von heute. Was leider auch ein Bestandteil davon ist, sind immer wieder Schlagzeilen über geknackte Konten und den Schabernack, den Kriminelle damit treiben. Warum? Weil entweder Diensteanbieterinnen und Diensteanbieter ihre Dienste schlecht absichern oder die Endnutzerinnen und Endnutzer unsichere Logins nutzen. Oft ist das keine Absicht, sondern schlicht Unwissen. Gegen ersteres kannst Du nur begrenzt etwas machen, gegen letzteres schon. Genau in diese Lücke zielt diese Artikelserie - Du wirst merken, es ist im Grunde kein Hexenwerk ausreichend sichere Logins zu nutzen.

Teil einer Artikelserie:

Zusätzliche Absicherung von Logins

In den letzten beiden Artikeln hatten wir besprochen, wie man sichere Passwörter erstellt und wie man diese komfortabel und sicher verwaltet. Dennoch ist es nicht völlig ausgeschlossen, dass das Kennwort eben doch unbeabsichtigt abhanden kommt. Und sei es nur durch eine gefälschte E-Mail (Phishing E-Mail) von Kriminellen - dann schützt auch das beste Kennwort nicht vor unbefugtem Zugriff. Daher stellt sich unweigerlich die Frage, ob man die Gefahr bzw. die Auswirkung die ein Passwortverlust hat, reduzieren kann.

Die Antwort auf diese Frage ist, neben dem Passwort noch einen zweiten Faktor für die Authentifizierung bei Logins zu verwenden. Das bedeutet, neben dem Passwort ist noch ein weiterer Faktor für die Anmeldung notwendig. Idealerweise ist dieser Faktor von anderer Kategorie als ein Passwort. Konkret: Das Passwort ist *Wissen. Der/die Benutzer:in wird durch Wissen und zwar durch das Wissen über das Passwort identifiziert und bekommt so Zugang zum System. Für einen guten zweiten Faktor bietet sich also zum Beispiel Besitz an. Zusätzlich zum Wissen, muss man nachweisen, dass man etwas bestimmtes besitzt, um sich in das System einwählen zu können.

Wie so etwas aussehen kann, wollen wir nachfolgend besprechen.

Arten von zweiten Faktoren

Nun gibt es verschiedene Arten von zweiten Faktoren. Es gibt spezielle Token, zum Beispiel in Form von USB-Sticks, die man als zweiten Faktor verwenden kann (bspw. Smartcards). Auch der eigene Rechner kann als zweiter Faktor dienen, dann ist nur eine Anmeldung von zuvor erlaubten Systemen möglich (bspw. mittels FIDO). Genauso ist es denkbar, ein biometrisches Merkmal als zweiten Faktor zu verwenden. Den eigenen Fingerabdruck oder das Gesicht zum Beispiel.

Doch die im Privatumfeld am weitesten verbreitete Art ist wohl OTP - das sind Einmalkennwörter, die man für den Login verwendet. Auf diese Methode möchten wir uns hier konzentrieren, denn sie ist einfach einzurichten und zu verwenden, mit hausüblichen Mitteln wie einem Smartphone oder einem anderen Rechner. Speziell die Protokolle TOTP und HOTP sehen wir uns an.

Zeitbasierte Einmalkennwörter

Sowohl TOTP, als auch HOTP sind Verfahren, um zeitbasierte Einmalkennwörter zu erzeugen. Man koppelt sein Login mit einem geheimen Schlüssel, der zum Beispiel von einer Smartphone-App eingelesen wird. Auf dieser Basis wird mathematisch mithilfe des Zeitstempels oder eines Zählers ein sich regelmäßig änderndes Einmalkennwort erzeugt, das man beim Login eingeben muss. Danach ist das Einmalkennwort wertlos. Wenn ein:e Angreifer:in dein Passwort und das Einmalkennwort abfängt, ist das Einmalkennwort schon nach kurzer Zeit, i.d.R. wertlos und es kann kein Nutzen daraus gezogen werden, es ist kein unbefugter Login möglich.

Grenzen von TOTP/HOTP

Wer aufmerksam mitgelesen hat, wird sich erschließen können, welche Grenzen das mit sich bringt.

Die Systeme (Webseiten…), bei denen du dich einoggst, müssen das Verfahren unterstützen. Ist das nicht der Fall, kannst du es nicht verwenden. Glücklicherweise ist das immer öfter der Fall.
Es schützt nur Angreifer:innen, die das Kennwort von dir oder von dritter Stelle abfangen. Wenn der/die Anbieter:in selbst ein Datenleck hat, kann es aber nicht garantiert/unbedingt schützen - sofern der geheime Schlüssel für den zweiten Faktor unter den Daten ist, kann das Einmalkennwort vom Eindringling problemlos selbst generiert werden. Im Worst-Case kann aus dem geleakten Datensatz noch das zugehörige Passwort ermittelt werden, oder ist, schlimmer noch, schon im Klartext dort enthalten.
Auch schützt es nicht, wenn der/die Angreifer:in unentwegt auf den Erfolg des Angriffs wartet und die abgefangenen Zugangsdaten direkt eingibt, wenn das Einmalpasswort noch Gültigkeit hat.

Die Praxis zur Theorie - zeitbasierte Einmalkennwörter verwenden

Grundlegend:

Die einfachste Möglichkeit, zeitbasierte Einmalkennwörter zu verwenden, ist via Smartphone-Applikation. Man lädt sich die App herunter und kann dort bei Aktivierung der Zwei-Faktor-Authentifizierung einen QR-Code scannen. Dieser enthält den geheimen Schlüssel, damit kann die App im Hintergrund das Einmalpasswort generieren. Als Resultat musst du die App lediglich für den Login starten, dass Einmalkennwort ablesen und eingeben - fertig.

Es gibt auf dem Markt einige Lösungen solcher Apps. Sehr bekannt ist der Google Authenticator, dieser wird auch oft bei der Einrichtung von Zwei-Faktor-Authentifizierung bei einschlägigen Diensten beworben. Aus Datenschutz- aber auch aus Komfortgründen halten wir diese Lösung nicht für empfehlenswert. Denn: Wenn zeitbasierte Einmalkennwörter auf Basis von TOTP/HOTP verwendet werden, dann kann jede App, die diese Verfahren unterstützt, verwendet werden. Das ist meistens der Fall, auch wenn manche Anbieter:innen partout die Zwei-Faktor-Authenfizierung nicht anhand des Verfahrens, sondern anhand des Produkts “Google Authenticator” vermarkten. Lass dich davon nicht ködern.

Android-App - andOTP

Auf Android bietet sich die App andOTP für die Zwei-Faktor-Authentifizierung an. Die App ist quelloffen und kann das, was man von einer Zwei-Faktor-App erwarten würde: Die zeitbasierten Einmalkennwörter von beliebig vielen Konten generieren. Ebenfalls kann man die hinzugefügten Konten sichern und wieder importieren. Das ist wichtig, sollte man das Smartphone verlieren oder auf ein neues umziehen. Man kann andOTP wahlweise im Google Play Store oder im F-Droid herunterladen.

Die Verwendung ist selbsterklärend:

Mit dem Plus-Symbol in der unteren Ecke lassen sich neue Konten hinzufügen, wahlweise per QR-Code-Scan oder manuell
Die App zeigt jedes Konto in einer Liste an, mit einem Tipp darauf wird das Einmalkennwort zur Eingabe angezeigt

iOS-App

Für iOS gibt es RavioOTP für die Zwei-Faktor-Authentifizierung. Sie bietet die Generierung von zeitbasierten Einmalkennwörtern für beliebig viele Konten und wahlweise ein verschlüsseltes Backup in die iCloud an.

Die Verwendung ist selbsterklärend:

Mit dem Plus-Symbol in der oberen rechten Ecke lassen sich neue Konten hinzufügen
Jedes hinzugefügte Konto wird von RavioOTP aufgelistet und das zugehörige, aktuelle Einmalkennwort angezeigt

Zwei-Faktor-Authentifizierung aktivieren

Nun sollte man hergehen und bei so vielen Konten wie möglich die Zwei-Faktor-Authentifizierung aktivieren. Meist findet sich die Option in den Konto- oder Sicherheitseinstellungen des Services, eine Suche im Internet hilft an der Stelle weiter. Dann kann man einfach den QR-Code mit andOTP oder RavioOTP scannen und künftig, wenn man sich einloggt, das von der App angezeigte Einmalkennwort zusätzlich zum Passwort eingeben.

Fazit

Wie in den vorhergegangenen Ausführungen gezeigt, ist es nicht wirklich schwierig Zwei-Faktor-Authentifizierung in Form von zeitbasierten Einmalkennwörtern zu verwenden. Für ein bisschen Mühe, bekommt man ein gutes Maß an Sicherheit bei den eigenen Logins obendrauf - eine Prämie, die man gut und gerne mitnehmen kann. In Kombination mit den vorherigen Artikeln zu sicheren und merkbaren Passwörtern sowie zu Passwortmanagern bist du nun in der Lage, recht einfach und komfortabel deine Logins relativ sicher zu gestalten. Wir können dir nur raten, es einfach mal auszuprobieren. Wenn du also die vorhergegangenen Artikel noch nicht gelesen hast, ist nun der Zeitpunkt das nachzuholen. Es ist ein Zeitinvest, der sich lohnt.

Fernhilfe mit xpra

Sun, 01 Aug 2021 00:00:00 +0000

In diesem Artikel zeigen wir eine mögliche Vorgehensweise, um von einem Linux-Rechner einen anderen fernzusteuern, ohne dabei einen zentralen Server zu verwenden. Dafür verwenden wir einen Wireguard-Tunnel und xpra. Um die Benutzung einfach zu halten, stellen wir hierfür zwei Skripte zur Verfügung.

Xpra agiert hierbei als die Fernsteuerungswerkzeug. Es hat allerdings die Einschränkung, dass der Hilfegebende die Verbindung zum Hilfenehmenden aufbauen muss. Um diese Verbindungsaufbaurichtung umzukehren, verwenden wir die Netzwerktunnellösung Wireguard. Damit verbindet sich der Hilfenehmer zunächst mit dem Hilfegeber, damit der Hilfegeber sich dann über diesen Tunnel mit xpra beim Hilfenehmer verbinden kann. Diese Vorgehensweise würde auch mit anderen Fernsteuerungstechnologien wie SSH oder einem VNC-Server funktionieren, aber wir zeigen es mit xpra.

Einschränkungen

Um falsche Erwartungen zu vermeiden gehen wir zuerst darauf ein, welche Probleme wir hier nicht lösen.

X-Server

xpra kann nur grafische Oberflächen auf X-Server-Basis weiterleiten. Wer keine grafische Oberfläche verwendet wird das sicherlich genau wissen. Beim X-Server und Wayland ist nicht immer klar, was man verwendet - insbesondere, da einige Desktop Environments beides unterstützten und in beiden Fällen genau gleich aussehen.

Als einfachen und universellen Test gibt es das Programm xeyes (bei Debian im Paket x11-apps). Dieses Programm zeigt zwei Augen, die zum Mauszeiger gucken. Das funktioniert (also reagiert auf Mausbewegungen) beim X-Server jederzeit (d.h. unabhängig von der Anwendung über der der Mauszeiger ist und auch bei Bedienelementen vom Desktop Environment).

Wenn xeyes gar nicht gestartet werden kann, ist das ein Indikator dafür, dass man gar keinen X-Server hat. Das ist allerdings noch unüblich.

Die dritte Möglichkeit ist, dass man Wayland mit X-Kompatibilitätsmodus (XWayland) verwendet. Dann bewegen sich die Augen nur, wenn der Mauszeiger über einer X-Anwendung ist (also z.B. xeyes selbst), aber sonst nicht. In diesem Fall könnte man xpra zwar starten, aber dann würde nur ein schwarzes Bild übertragen werden.

Teilweise kann man im Displaymanager auswählen, ob man eine X-Server oder Wayland-Sitzung starten möchte. Das ist dann natürlich nur ein Workaround, da das Problem an einer anderen Stelle liegt.

Netzwerk

Die netzwerkabhängigen Einschränkungen ergeben sich dadurch, dass man keinen zentralen Zwischenserver hat.

Der Hilfenehmende (B) muss eine Verbindung zum Hilfegebenden (A) aufbauen können. Wenn man das über das Internet und nicht nur in seinem Heimnetz - was dann wahrscheinlich keine Fernhilfe mehr ist - macht, dann muss eine Verbindung möglich sein. Dabei kann es durch die zwei verschiedenen, momentan eingesetzten Protokollversionen von IP - IPv4 und IPv6 - zu Problemen kommen.

Am Besten ist es, wenn A ein Provider hat, der einen sog. Dual-Stack-Betrieb durchführt. Dann kann A uneingeschränkt IPv4 und Pv6 gleichzeitig verwenden. Ansonsten hat A nur eine öffentliche IPv4 oder IPv6-Adresse. Dann können an der Seite von B Tunnelprotokolle verwendet werden, falls der Provider von B nur die andere Version unterstützt. Einfacher ist es natürlich, wenn man nicht auf Tunnelprotokolle zurückgreifen muss.

Beim Einsatz von virtuellen Maschinen kann es vorkommen, dass der eigene Rechner selbst auch als Router agiert. Wenn dabei eine Paketfilterung oder eine Network Address Translation stattfindet, dann muss man auch das entsprechend konfigurieren, um als A eingehene Verbindungen annehmen zu können.

Konzept

Wir bauen einen Wireguard-Tunnel vom Hilfenehmenden (B) zum Hilfegebenden (A) auf. Dafür muss B die IP-Adresse von A kennen. Sofern A nicht direkt am Internet angebunden ist, muss A den konfigurierten UDP-Port vom Router an den entsprechenden Rechner weiterleiten lassen.

Dann startet B einen xpra-Server, der über den Tunnel erreichbar ist. A verbindet sich mit diesem und dann haben wir unser Ziel erreicht.

Damit es bequem benutzbar wird, stellen wir hierfür zwei Skripte zur Verfügung.

Um die Benutzung für B besonders einfach zu halten, wird B nur nach der IP-Adresse von A gefragt. Der Public-Key und Port von A wird bei B fest konfiguriert. A wird stattdessen nach dem Public Key von B gefragt, damit diese Verbindung zugelassen wird. A muss die Public-Keys selbst “verwalten”, also z.B. eine Liste mit Namen und den zugehörigen Public Keys erstellen.

Portweiterleitung

Wie schon im Konzept angedeutet, muss der Helfende seinen Router passend konfigurieren, damit die Verbindung von außen an seinen Computer möglich wird. Die Portnummer muss mit der im Skript hinterlegten übereinstimmen. Sofern der Router eine Wahl anbietet, reicht eine UDP-Weiterleitung. Eine Schritt-für-Schritt-Anleitung haben wir hier nicht, aber die wäre auch nur begrenzt hilfreich, da die Oberfläche bei jedem Router anders aufgebaut ist.

Durch die Portweiterleitung entsteht kein Sicherheitsproblem. Solange kein Programm auf eurem Rechner den Port bindet, kann man über diesen Port Nichts von außen erreichen. Wenn wiederum Wireguard läuft, dann reagiert es nur auf Pakete, die eine Kenntnis des eigenen Public-Keys zeigen.

Bei zu großen Bedenken kann die Portweiterleitung auch bei Bedarf aktiviert werden und danach wieder deaktiviert werden.

Skripte

Voraussetzungen

benötige Anwendungen:

xpra
wireguard (d.h. wireguard-tools und Kernel-Modul, bei Debian im Paket wireguard)
ping (z.B. aus dem Paket iputils-ping)
ip (aus dem Paket iproute2)
sudo (ohne sudo muss das Skript bearbeitet werden, um anders vom root zurück zum Aufruferbenutzer zu wechseln)

optionale Anwendungen:

miniupnpc (ermöglicht das Anzeigen der externen IPv4-Adresse)
curl (ermöglicht die Angabe der IP-Adresse per Datei auf einem Webserver)

Konfiguration

Die Konfiguration erfolgt durch das Setzen von Variablen am Anfang der beiden Skripte. Wie man neue Werte für die Schlüssel und Ports generiert wird in Kommentaren im Skript erläutert, sodass es an dieser Stelle nicht wiederholt wird.

Da private Schlüssel im Skript eingebettet werden, ist es empfehlenswert, die Dateiberechtigungen so zu setzten, dass nur der entsprechende Benutzer diese Datei lesen kann.

Das Skript für den Hilfenehmenden ist so gebaut, dass es wenig Fragen stellt. Was das Skript nicht fragt, muss es schon wissen. Das bedeutet mehr Konfiguration, die im Voraus erfolgen muss. Es ist also dafür gedacht, dass der Hilfegebende es einmalig beim Hilfenehmenden (z.B. vor Ort) einrichtet.

Sicherheit

Sämtliche Daten werden durch einen Wireguard-Tunnel übertragen, um die Vertrautlichkeit und Integrität sicherzustellen. xpra wird so konfiguriert, dass die Verbindung in einem Bestätigungsdialog zugelassen werden muss. Zusätzlich wird xpra so konfiguriert, dass es nur über den Tunnel erreichbar ist. Die Skripte benötigen root-Rechte, um Wireguard zu konfigurieren, aber für den xpra-Aufruf wird per sudo zurück zum nicht-root-Benutzer gewechselt.

connect-to-xpra-session.sh

Dieses Skript wird vom Hilfegebenden (also A) ausgeführt.

#!/usr/bin/env bash
set -euo pipefail
# use "wg genkey" to generate this one
# mit "wg genkey" kann dieser Wert generiert werden
MY_PRIVKEY="oMOhNurb+WKDlhymjaMNYQgLNCERg3DsaFcP3J7jOXg="
# use "echo $((50000 + $RANDOM % 1000))" to generate this one
# when configuring your firewall/router, you only need to allow the UDP port with
# this number, TCP is not needed/used
#
# mit "echo $((50000 + $RANDOM % 1000))" kann ein Wert hierfür generiert werden
# Bei der Konfiguration der Firewall/des Routers muss nur dieser Port und auch nur
# für UDP freigegeben werden; TCP wird nicht verwendet
HELPER_PORT=50831
# end of important configuration/Ende der wichtigen Konfiguration
INTERFACE_NAME="helpnet0"
# end of configuration/Ende der Konfiguration
NEEDS_WG_SHUTDOWN=0
wg_pubkey_to_ip() {
# Use this function to deterministically calculate an IP address from a wiregurd
# public key. This uses a address range which we chose randomly and which is intended
# for such purposes.
#
# Diese Funktion berechnet eine IP-Adresse mit einem Wireguard-Public-Key. Der dafür
# verwendete Adressbereich wurde zufällig gewählt ist für solche Einsatzzwecke vorgesehen.
#
# parameter 1: base64 encoded public key
#
# fd = private and generated ipv6 network
# 70cc7ee212 = global id
# 19b8 = subnet id
#
# the remaining four blocks are the start of the public key converted to hex
# die verbleibenden vier Blöcke entsprechen dem Anfang des Public-Keys in Hexadezimalkodierung
printf "%s" 'fd70:cc7e:e212:19b8:'; echo "$1" | base64 --decode | od -An -N 8 -t x1 | tr -cd [0-9a-f] | cut --output-delimiter=: -c1-4,5-8,9-12,13-16
}
setup_wg() {
ip link add dev "$INTERFACE_NAME" type wireguard
NEEDS_WG_SHUTDOWN=1
echo "$MY_PRIVKEY" | wg set "$INTERFACE_NAME" listen-port "$HELPER_PORT" private-key /dev/stdin
ip address add "$(wg_pubkey_to_ip "$(echo "$MY_PRIVKEY" | wg pubkey)")/64" dev "$INTERFACE_NAME"
wg set "$INTERFACE_NAME" peer "$HELPED_PUBKEY" allowed-ips "$(wg_pubkey_to_ip "$HELPED_PUBKEY")"
ip link set "$INTERFACE_NAME" up
}
shutdown_wg() {
if [ $NEEDS_WG_SHUTDOWN -eq 1 ]; then
ip link delete dev "$INTERFACE_NAME"
fi
NEEDS_WG_SHUTDOWN=0
}
cleanup() {
shutdown_wg
}
trap cleanup EXIT
if [[ ! -v SUDO_USER ]]; then
echo 'Please start this script with sudo, it will drop the permissions where possible'
exit 1
fi
read -rep 'Public key of the other side: ' HELPED_PUBKEY
setup_wg
echo 'Output of "ip address":'
ip address | grep global | awk '{ v = $2; gsub(/\/.*$/, "", v); print v }'
if which external-ip > /dev/null; then
echo 'Output of "external-ip":'
sudo -u nobody external-ip # don't run this as root
else
echo 'If you install miniupnpc, then your public IPv4 address could be shown here too'
fi
echo 'Now tell the other side your IP and ask it to connect'
read -sp 'Press ENTER when the other side seems to be ready'; echo ''
echo 'Now we send pings until they work before we try to start the session'
while true; do
OK=1
ping -c1 -w1 "$(wg_pubkey_to_ip "$HELPED_PUBKEY")" || OK=0
[ $OK -eq 1 ] && break
echo 'No connection yet ...'
sleep 1
done
echo 'Connected!' && sleep 1
sudo -u "$SUDO_USER" xpra attach "tcp/$(wg_pubkey_to_ip "$HELPED_PUBKEY")" --encoding=vp8
echo 'Shutting down ...'
cleanup

start-xpra-session.sh

Dieses Skript wird vom Hilfenehmenden (also B) ausgeführt.

#!/usr/bin/env bash
set -euo pipefail
# use "wg genkey" to generate this one
# mit "wg genkey" kann dieser Wert generiert werden
MY_PRIVKEY="IEO9hOluqqfon8oG/BW6yQ4//miO4PsEOeWwHR0L4kE="
# use "echo [keydata] | wg pubkey" to get the public key; this is the public
# key of the other side, otherwise we could just use the MY_PRIVKEY variable
# to calculate it
#
# Mit "echo [keydata] | wg pubkey" kann der öffentliche Schlüssel berechnet werden;
# Hier muss der Schlüssel der ANDEREN Seite verwendet werden, sonst könnte es ja
# auch direkt vom Skript berechnet werden
HELPER_PUBKEY="028Y/kcgJyR5wOiL1XWwipzHomSy98Wxgrz0cZkWgBY="
# The URL which serves a text file with the IP address of the helper.
# If this is empty or the URL does not work, then the user is asked for the value.
#
# Eine URL, unter der die IP-Adresse des Helfers ausgeliefert wird.
# Wenn das leer ist oder die URL nicht funktioniert, dann wird der Benutzer nach dem
# Wert gefragt.
HELPER_IP_URL=""
# use the value which the helper uses to make it work
# Hier muss der gleiche Port wie beim Helfenden eingestellt werden, sonst funktioniert es nicht
HELPER_WG_PORT=50831
# end of important configuration/Ende der wichtigen Konfiguration
SELF_WG_PORT="$((50000 + $RANDOM % 1000))"
INTERFACE_NAME="helpnet0"
# end of configuration/Ende der Konfiguration
NEEDS_WG_SHUTDOWN=0
NEEDS_XPRA_SHUTDOWN=0
XPRA_PID=0
wg_pubkey_to_ip() {
# Use this function to deterministically calculate an IP address from a wiregurd
# public key. This uses a address range which we chose randomly and which is intended
# for such purposes.
#
# Diese Funktion berechnet eine IP-Adresse mit einem Wireguard-Public-Key. Der dafür
# verwendete Adressbereich wurde zufällig gewählt ist für solche Einsatzzwecke vorgesehen.
#
# parameter 1: base64 encoded public key
#
# fd = private and generated ipv6 network
# 70cc7ee212 = global id
# 19b8 = subnet id
#
# the remaining four blocks are the start of the public key converted to hex
# die verbleibenden vier Blöcke entsprechen dem Anfang des Public-Keys in Hexadezimalkodierung
printf "%s" 'fd70:cc7e:e212:19b8:'; echo "$1" | base64 --decode | od -An -N 8 -t x1 | tr -cd [0-9a-f] | cut --output-delimiter=: -c1-4,5-8,9-12,13-16
}
setup_wg() {
ip link add dev "$INTERFACE_NAME" type wireguard
NEEDS_WG_SHUTDOWN=1
echo "$MY_PRIVKEY" | wg set "$INTERFACE_NAME" listen-port "$SELF_WG_PORT" private-key /dev/stdin
ip address add "$(wg_pubkey_to_ip "$(echo "$MY_PRIVKEY" | wg pubkey)")/64" dev "$INTERFACE_NAME"
wg set "$INTERFACE_NAME" peer "$HELPER_PUBKEY" allowed-ips "$(wg_pubkey_to_ip "$HELPER_PUBKEY")" endpoint "${HELPER_IP}:${HELPER_WG_PORT}" persistent-keepalive 5
ip link set "$INTERFACE_NAME" up
}
shutdown_wg() {
if [ $NEEDS_WG_SHUTDOWN -eq 1 ]; then
ip link delete dev "$INTERFACE_NAME"
fi
NEEDS_WG_SHUTDOWN=0
}
setup_xpra() {
# the pid file must be created by the user that runs xpra
XPRA_PID_FILE="$(sudo -u "$SUDO_USER" mktemp)"
sudo -u "$SUDO_USER" xpra shadow --daemon=no --mdns=no --bind=none "--bind-tcp=[$(wg_pubkey_to_ip "$(echo "$MY_PRIVKEY" | wg pubkey)")]:14500" --tcp-auth=exec "--pidfile=$XPRA_PID_FILE" &
for i in {1..15}; do
XPRA_PID="$(sudo -u "$SUDO_USER" cat "$XPRA_PID_FILE")"
[ -z "$XPRA_PID" ] || break
sleep 1
done
# the pid file is not needed anymore
rm -f "$XPRA_PID_FILE"
if [ -z "$XPRA_PID" ]; then
echo "Could not start xpra"
return 1
fi
NEEDS_XPRA_SHUTDOWN=1
}
shutdown_xpra() {
if [ $NEEDS_XPRA_SHUTDOWN -eq 1 ]; then
kill "$XPRA_PID"
fi
NEEDS_XPRA_SHUTDOWN=0
}
cleanup() {
shutdown_xpra
shutdown_wg
}
trap cleanup EXIT
if [[ ! -v SUDO_USER ]]; then
echo 'Please start this script with sudo, it will drop the permissions where possible'
exit 1
fi
HELPER_IP=""
if ! [ -z "$HELPER_IP_URL" ]; then
echo "Try to automatically obtain the helper IP ..."
HELPER_IP_ERR=0
HELPER_IP="$(curl --silent --show-error --fail "$HELPER_IP_URL" || HELPER_IP_ERR=1)"
if [ "$HELPER_IP_ERR" -eq 1 ]; then
HELPER_IP=""
fi
fi
if [ -z "$HELPER_IP" ]; then
# ask at runtime
read -rep 'IP address of the helper: ' HELPER_IP
fi
setup_wg
setup_xpra
read -sp 'Press ENTER to shutdown xpra'; echo ''

Desktop-Verknüpfung

Wie man eine Desktop-Verknüpfung erstellt wird in unserem Wiki beschrieben. Das ist besonders beim Hilfenehmenden sinnvoll.

Dabei sollte man nicht vergessen, dass die Skripte mit sudo gestartet werden müssen. Wenn man das Skript so speichert, dass der Benutzer dafür keine Schreibrechte hat, dann kann man in der sudoers-Datei eintragen, dass der Benutzer dieses konkrete Skript ohne Passwortabfrage starten darf.

Sichere Logins - Teil 2 - Passwortmanager

Thu, 01 Jul 2021 00:00:00 +0000

Sichere Logins - Teil 2 - Passwortmanager

Inhaltsverzeichnis:

Einleitung
Das Passwortchaos
Was sind Passwortmanager?
Bitwarden
KeePassXC
Literatur und Quellen

Einleitung

Teil einer Artikelserie:

Das Passwortchaos

Im letzten Artikel über sichere Logins ging es darum, sichere Passwörter zu wählen. Auch wenn wir aufgezeigt haben, wie man diese ebenso merkbar gestalten kann, ist doch klar, dass das nur bis zu einer bestimmten Anzahl an Passwörtern funktioniert, weit zu wenig, wenn man für jeden Dienst ein unterschiedliches Passwort wählt - und das sollte man machen. Daher soll sich dieser Artikel eine Lösung dieses Problems erklären: Passwortmanager.

Was sind Passwortmanager?

Passwortmanager sind im Grunde nichts anderes, als Programme, die eine Liste mit Deinen Passwörtern speichern. Das Prinzip dabei ist, dass man sich ein Passwort (genannt Haupt-Passwort oder Master-Passwort) erstellt, welches dem Passwortmanager zugewiesen und das bei jedem Start eigegeben wird. Alle anderen Zugänge sind dann im Passwortmanager gespeichert, man muss sich also nur noch ein einziges Passwort merken. Je nach Passwortmanager bekommt man dadurch einiges an Komfort:

Speichern von allen Passwörtern und die Informationen, die zu diesen gehören: Benutzernamen, Websites usw…
Zufallsgenerator für Passwörter
Beliebiges Katogorisieren von Passwörtern (Shopping, Social Media, Arbeit, Finanzen)
Automatisches Ausfüllen von Passwörtern im Browser (Firefox, Chrome etc…)
Ausfüllen von Passwörtern in anderen Programmen per Tastenkombination
Und so weiter…

Passwortmanager machen es also nicht nur möglich für jeden Dienst ein anderes Passwort zu wählen, sondern bringen auch einiges an Komfort. Was aber auch klar wird, ein Programm, dem man alle eigenen Zugangsdaten anvertraut sollte vertrauenswürdig und sicher sein. Auf was es dabei ankommt:

Das Passwort zum Entsperren des Passwortmanagers sollte besonders sicher sein (siehe unsere Tipps dazu)
Der Passwortmanager sollte Ende-zu-Ende-verschlüsselt sein, das heißt, dass der Passwortmanager Deine Passwörter auf Deinem PC verschlüsselt, damit sie niemand lesen kann, der nicht Dein Haupt-Passwort kennt, selbst wenn er Zugriff auf die Datei des Passwortmanagers bekommen sollte
Der Passwortmanager sollte quelloffen sein, das heißt, dass der Bauplan des Passwortmanagers offen einsehbar ist und so von Expert:innen verifiziert werden kann
Er sollte aktiv gepflegt werden, damit Sicherheitslücken schnellstmöglich behoben werden
Außerdem ist es von Vorteil, wenn der Passwortmanager einen gewissen Bekanntheitsgrad hat, damit mögliche Lücken im bestenfalls schneller entdeckt werden. Im Idealfall werden regelmäßig unabhängige Sicherheitsprüfungen durchgeführt, die den Passwortmanager auf Herz und Nieren prüfen

Da das doch einige Dinge sind, die man beachten sollte, werden wir im nachfolgenden zwei Passwortmanager mit deren Vor- und Nachteilen vorstellen und Dich durch den Einrichtungsprozess führen. Wenn Du das einmal geschafft hast und Dich an die Verwendung gewöhnt hast, wirst Du nicht mehr darauf verzichten wollen - denn vergessene oder schwache Passwörter gehören damit der Vergangenheit an.

Wir werden nachfolgend auf Bitwarden und KeePassXC als Passwortmanager eingehen. Wenn Du Dich nur für einen der beiden Kandidaten interessierst, kannst Du nachfolgend direkt zum passenden Abschnitt springen:

Zu Bitwarden
Zu KeePassXC

Solltest Du Dich nicht entscheiden können, hier unsere Empfehlung:

Verwende Bitwarden als technisch unversierte:r Nutzer:in. Einmal eingerichtet, funktioniert Bitwarden auf allen Plattformen gleich und Du musst Dich um nichts mehr kümmern.
Verwende KeePassXC wenn Dir eine etwas anspruchsvollere Einrichtung nichts macht und Du unabhängig von einem bestimmten Unternehmen sein möchtest.

Bitwarden

Bitwarden ist ein quelloffener und cloudbasierter Passwortmanager aus den USA. Er ist für alle gängigen Betriebssysteme - Windows, MacOS, Linux, Android und iOS - verfügbar. Die Zugangsdaten werden automatisch synchronisiert und sind auch im Browser verfügbar. Sowohl auf Mobilgeräten als auch im Browser kann man sich die Zugangsdaten automatisch ausfüllen lassen.

Trotz dessen, dass es sich um eine cloudbasierte Lösung handelt - die Passwortdatei wird also auf den Servern von Bitwarden gespeichert - kann man das für unbedenklich halten: Die Apps sind quelloffen und alle Daten werden vor dem verlassen des eigenen Geräts mit dem nur Dir bekannten Masterpasswort verschlüsselt. Darüberhinaus wurden bei Bitwarden schon unabhänige Sicherheitsprüfungen durchgeführt. Dennoch sollte man sich im klaren sein, dass man davon abhängig ist, dass Bitwarden weiterbesteht und den Dienst weiter kostenlos anbietet. Bei regelämßgen Backups sollte das aber unbedenklich sein - wie das funktioniert, wird im weiteren Verlauf beschrieben. Wer das technische Wissen hat kann die Bitwarden-Server bei Bedarf auch selber betreiben, denn auch sie sind quelloffen.

Die schon genannten Grundfunktionen sind bei Bitwarden kostenlos, es gibt aber auch erweiterte Funktionen, die nur im Abo verfügbar ist. Das ist aber grundsätzlich nichts schlechtes, auch die Entwickler:innen von Bitwarden müssen von irgendetwas leben.

Bitwarden kann zum Beispiel auch für Unternehmen eine gute Wahl sein, mit Funktionen wie dem Teilen von Passwörtern mit Personen oder Teams.

Auf einen Blick - Vor- und Nachteile von Bitwarden

Vorteile:

Ende-zu-Ende-Verschlüsselt: Deine Zugangsdaten können nur von Dir, wenn das Masterpasswort bekannt ist, eingesehen werden.
Quelloffen: Der Bauplan von Bitwarden ist einsehbar und kann von Expert:innen geprüft werden
Sicherheitsaudits: Bitwarden wurde schon mehrfach von unabhängigen Expert:innen auf dessen Sicherheit getetstet
Für alle gängigen Plattformen verfügbar: Es gibt Programme für Windows, MacOS, Linux, iOS und Android
Autofill im Browser: Durch Addons integriert sich Bitwarden nahtlos in den Internet-Browser Deiner Wahl
Automatisch Synchronisierung von Zugangsdaten (cloudbasiert): Egal auf welchem Gerät Du Deine Zugangsdaten anlegst, Bitwarden synchronisiert sie automatisch auf alle Deine anderen Geräte
Kollaborations-Funktionen, um Passwörter zu teilen: Du kannst Passwörter mit anderen Nutzer:innen von Bitwarden zur gemeinsamen Nutzung freigeben

Nachteile:

Automatische Synchronisierung von Zugangsdaten (cloudbasiert): Die verschlüsselten Zugangsdaten werden auf Bitwarden-Server hochgeladen. Das bringt Komfort, jedoch steht und fällt die Sicherheit mit der Verschlüsselung
Abhängigkeit von einem Unternehmen: Die Entwicklung von Bitwarden wird von einem Unternehmen getrieben, wenn dieses Bitwarden in Zukunft nicht mehr (kostenlos) anbietet, muss man u.U. den Passwortmanager wechseln.

Einrichtung

Die Einrichtung funktioniert recht unkompliziert, die passenden Download-Links finden sich direkt bei Bitwarden. Lade Dir dort die passende Option herunter und klicke Dich durch den Setup-Prozess. Solltest Du Dir unsicher über die Einrichtung sein, kannst Du nachfolgend zu Details zur passenden Plattform springen. Ansonsten kannst Du mit der Verwendung fortfahren.

Desktop-PC:

Windows-Installation
MacOS-Installation
Linux-Installation

Internet-Browser:

Addon für Mozilla Firefox
Addon für Google Chrome
Addon für Microsoft Edge
Addon für Apple Safari

Mobilgerät:

Android-Installation
iPhone/iOS-Installation

Konto erstellen

Bevor Bitwarden verwendet werden kann, brauchst Du ein Konto. Dieses kannst Du Dir bei Bitwarden registrieren. Für die Registration ist eine E-Mail-Adresse und das Master-Passwort zwingend erforderlich. Es ist besonders wichtig, ein sicheres Master-Passwort zu wählen und es sich zu merken. Es wird verwendet, um die Daten im Passwortmanager zu verschlüsseln und kann nicht zurückgesetzt werden, auch nicht von Bitwarden.

Bildstrecke: Bitwarden-Konto erstellen

Installation unter Linux, Windows und MacOS

Für den Desktop PC kann Bitwarden von deren Webseite im Download-Bereich heruntergeladen werden. Das funktioniert für Bitwarden prinzipiell wie für jedes andere Programm auch, die genauen Schritte werden nachfolgend beschrieben.

Windows

Bitwarden herunterladen und die Datei speichern
Downloadverzeichnis öffnen: Den Windows-Explorer öffnen, z.B. durch Druck der Windows-Taste + E und zu Downloads navigieren
Bitwarden-Installer ausführen: Doppelklick auf die eben heruntergeladene Bitwarden-Installer-X.XX.X.exe-Datei machen
Setup abschließen: Nun kann man sich nach den eigenen Bedürfnissen durch den Installer klicken und erhält am Ende Bitwarden Schlüsselfertig auf den eignen Desktop
Bitwarden starten und initial mit dem vorher erstellten Konto anmelden

Bildstrecke: Bitwarden unter Windows installieren

MacOS

Bitwarden im MacOS App Store öffnen
Installieren klicken und bestätigen
Bitwarden starten und initial mit dem vorher erstellten Konto anmelden

Bildstrecke: Bitwarden unter MacOS installieren

Linux

Bitwarden herunterladen und die Datei speichern
Downloadverzeichnis öffnen: Den Dateimanager Deiner Wahl öffnen, funktioniert oft durch Druck von Super + E und zu den Downloads navigieren
Datei ausführbar machen: Rechsklick auf die eben heruntergeladene Datei Bitwarden-....AppImage machen -> Eigenschaften -> Berechtigungen öffnen und als Auführbar markieren
Bitwarden starten: Nun kann Bitwarden per Doppelklick auf die Datei gestartet werden, bei Bedarf kann sie noch an andere Stelle verschoben werden und ein Startmenüeintrag erstellt werden
Initiales anmelden: Nach Start initial mit dem vorher erstellten Konto anmelden

Bildstrecke: Bitwarden unter Linux installieren

Einrichtung der Browser-Erweiterung

Mithilfe der Browser-Erweiterung kann Bitwarden automatisch Passwörter für und auf Webseiten aufüllen, erstellen und speichern. Das ist ungemein praktisch - einmal eingerichtet und verstanden, muss man nie wieder manuell Passwörter beim Online-Shopping, E-Mails schreiben und so weiter eingeben.

Mozilla Firefox

Zum Mozilla AddOn Store navigieren und auf “Zu Firefox hinzufügen” klicken
Initiales anmelden: Auf das kleine blaue Schild oben rechts im Firefox klicken und mit dem vorher erstellten Konto einloggen

Bildstrecke: Bitwarden im Firefox

Google Chrome

Zum Chrome Webstore navigieren und auf “Hinzufügen” klicken
Erweiterungsmenü öffnen: Auf das kleine Puzzlesymbol klicken und Bitwarden anwählen, wahlweise mit dem kleinen Pinnadel-Symbol anpinnen
Erstmaliges einloggen: Dann kann man sich initial einloggen und loslegen

Bildstrecke: Bitwarden im Chrome

Microsoft Edge

Zum Microsoft Edge AddOn Store navigieren und auf “Abrufen” klicken
Erstmaliges anmelden: Auf das kleine, blaue Schild rechts oben im Edge klicken und mit dem vorher erstellten Konto einloggen

Bildstrecke: Bitwarden im Edge

Apple Safari

Das Bitwarden-Addon für Safari wird bei MacOS automatisch mit dem Bitwarden-Programm mitinstalliert. Daher muss es lediglich aktiviert werden.

In die Safari-Einstellungen wechseln: In der Menüleiste “Safari” -> “Einstellungen” anwählen
Die Bitwarden-Erweiterung aktivieren: Im Tab “Erweiterungen” das Häckchen bei Bitwarden setzen
Bitwarden-Berechtigungen vergeben: Das kleine blaue Schildsymbol von Bitwarden auswählen und den Zugriff von Bitwarden auf Webseiten erlauben
Erstmaliges anmelden: Schlussendlich mit dem eigenen Konto anmelden

Bildstrecke: Bitwarden im Safari

Installation unter Android und iOS

Android

Zum PlayStore navigieren und “Installieren” wählen
Bitwarden öffnen und anmelden - fertig!

Bildstrecke: Bitwarden unter Android installieren

iOS

Zum AppStore navigieren und “Laden” wählen
Installation bestätigen und abwarten
Bitwarden öffnen und anmelden
Autofill aktivieren
- Zu den iOS-Einstellungen gehen
- Herunterscrollen zu Passwörtern, dort “Automatisch ausfüllen” wählen
- Automatisch ausfüllen an sich und für Bitwarden aktivieren

Bildstrecke: Bitwarden unter iOS installieren

Verwendung

Nun, da Bitwarden installiert und eingerichtet ist, können wir es verwenden. Nachfolgend kannst Du direkt zu bestimmten Themenpunkten springen, wenn Du nicht für alles eine Beschreibung benötigst:

Entsperren und die Passwortdatenbank
Anlegen von Einträgen
Verwalten von Einträgen
Die Web-Browser-Erweiterung
Backups

Entsperren & die Passwortdatenbank

Der erste Schritt, der bei jedem Start von Bitwarden nötig ist, ist das Entsperren der Passwortdatenbank.

Die Passwortdatenbank ist ein verschlüsselter Speicherbereich bzw. Datenablage in der die Zugangsdaten gespeichert werden können. Im Grunde kann man es sich wie einen Aktenorder vorstellen, den man in einem Tresor ablegt. Es ist die vertrauenswürdige Ablage für all Deine Passwörter und Zugangsinformationen. Daher ist besonders wichtig, diese mit einem möglichst starken Kennwort zu schützen. Dieser Schritt ist bereits bei der Einrichtung gegangen worden, beim Erstellen des Bitwarden-Kontos. Nun kann die Passwortdatenbank bei jedem Start von Bitwarden mit Deinen Zugangsdaten entsperrt werden - mit der angegebenen E-Mail-Adresse und dem zugehörigen Passwort:

Danach landest Du auch schon direkt in der entsperrten Passwortdatenbank, in Deinem sicheren Ablagebereich für die Zugangsdaten und kannst mit der Verwendung loslegen. Anfangs wird es noch keine Einträge geben, mit der Zeit wird es sich aber hoffentlich füllen:

Wichtig zu wissen ist, dass auch wenn für die Registration eine E-Mail-Adresse vonnöten war, das Passwort nicht zurückgesetzt werden kann, Du musst es Dir unter jeden Umständen merken. Das hat den Hintergrund, dass die Passwortdatenbank von Bitwarden Ende-zu-Ende-verschlüsselt ist, die Zugangsdaten werden nur auf Deinem Computer ver- und entschlüsselt - damit haben nicht einmal die Bitwarden-Betreiber:innen Zugriff auf die von Dir verwendeten und abgespeicherten Kennwörter.

Anlegen von Einträgen

Der traurige Smiley nach dem initialen Start zeigt Dir schon, dass sich so eine leere Passwortdatenbank nicht gehört. Zeit also, die ersten Einträge anzulegen.

Um einen neuen Eintrag zu erstellen, findest Du unten am Bildschirm ein Plus-Symbol. Das ist der Knopf um einen neuen Eintrag zu erstellen. Nach Druck dieses Knopfes kannst Du in der Eingabemaske Die Zugangsdaten für eines Deiner Konten eintragen:

Der Name des Eintrags. So kannst Du die Einträge später suchen, wiederfinden und zuordnen.
Der Nutzer:innenname für das Konto also der Loginname, den Du zum Anmelden verwendest.
Schließlich das Passwort für das Konto.
Sollte es ein neues Konto sein, kannst Du in Bitwarden direkt ein sicheres Passwort generieren lassen. Das geht über das kleine Kreissymbol neben dem Passwort-Feld beim Anlegen eines Eintrages.
Und die URL / Web-Adresse für das Konto. Das ist wichtig, damit Bitwarden in Deinem Browser, z.B. Firefox, automatisch Dein Passwort eintragen kann. Außerdem wird dem Eintrag dann automatisch ein kleines Bildchen angefügt, was die Übersicht erleichtert.

Verwalten von Einträgen

Nach einer Zeit haben sich dann hoffentlich einige Einträge in Deinem Bitwarden Passwortmanager gesammelt:

Das Plus-Symbol erlaubt Dir, immer weitere Einträge und Zugangsdaten zu speichern.
Das Stift-Symbol erlaubt Dir, einen Eintrag zu bearbeiten.
In der linken Leiste kannst Du durch alle Einträge blättern.
In der rechten Leiste kannst Du die Details zum aktuell angewählten Eintrag betrachten. Nützlich ist auch das kleine, aberundete Rechteck neben dem Nutzer:innenname und dem Passwort - damit lassen sich die entsprechenden Einträge kopieren, sodass Du sie in anderen Programmen wieder einfügen kannst.

Die Web-Browser-Erweiterung

Besonders praktisch an Bitwarden ist auch die Web-Browser-Erweiterung. Das ist ein kleines Zusatzprogramm für Deinen Web-Browser, zum Beispiel für Firefox. Die Installation haben wir ebenfalls schon am Anfang dieses Artikels behandelt.

Das Firefox-Addon steht Dir als kleines Symbol oben rechts in Deinem Firefox zur Verfügung. Dort kannst Du Dich dann analog zum Bitwarden-Desktop-Programm anmelden. In Google Chrome und anderen Web-Browsern solltest Du auch ein Icon an ähnlicher Stelle finden. Daher werden wir hier nur Bildschirmfotos für Firefox einfügen.

Danach hast Du genauso eine Übersicht und Verwaltungsmöglichkeit über Deine gespeicherten Einträge, kannst neue Anlegen, bestehende einsehen und bearbeiten und so weiter.

Das ist soweit nichts besonderes und wurde auch zuvor schon beschrieben. Das praktische am Addon ist die Autofill-Funktion.

Die Autofill-Funktion ermöglicht es, dass Deine Passwörter bzw. Zugangsdaten auf Webseiten automatisch ausgefüllt werden und Du sie somit nicht kopieren oder händisch eingeben musst. Dazu musst Du einfach die Webseite aufrufen und auf das Bitwarden-Symbol klicken. Dir wird dann automatisch ein passender Eintrag vorgeschlagen und nach Klick auf diesen werden die Zugangsdaten auf der Webseite augefüllt (hier am Beispiel der GLS-Webseite):

Das automatische Erkennen funktioniert natürlich nur, wenn die URL korrekt im Eintrag hinterlegt ist.

Backups

Wie in der Einleitung schon angesprochen, empfiehlt es sich, regelmäßig Backups der gespeicherten Passwörter anzulegen. So ist man abgesichert, falls Bitwarden plötzlich die Schotten dicht macht.

Da Bitwarden ein cloudbasierter Dienst ist, muss man die eigene Passwortdatei zunächst exportieren:

Bitwarden auf Deinem PC öffnen und entsperren
Datei -> Tesor exportieren anwählen
Das Masterpasswort eingeben und auf das Speichern-Symbol klicken
Nach einer weiteren Bestätigung den Speicherort auswählen

Wichtig ist, dass die Passwortdatei an einem sicheren Ort gespeichert wird, denn diese enthält alle Zugangsdaten im Klartext. Jede:r mit Zugriff auf diese Datei kennt Deine Passwörter! Am Besten ist es daher, dass Du sie auf einem verschlüsselten Laufwerk speicherst. Wenn Du nicht weißt, wie man so etwas benutzt, dann richtet es auch ein separater USB-Stick, den Du an einem sicheren Ort aufbewahrst. Unter keinen Umständen solltest Du jedoch die unverschlüsselte Passwortdatei direkt auf Deinem PC lagern, dann könntest Du Dir genaus eine Excel-Datei mit Deinen Passwörtern erstellen.

KeePassXC

KeePassXC ist ein quelloffener, lokaler Passwortmanager, der von einer Gemeinschaft entwickelt wird. Er nutzt das quelloffene KeePass-Format. Verfügbar ist er für Windows, MacOS und Linux, für Android gibt es die unabhänige App KeePass2Android und für iOS gibt es Strongbox. Beide können mit dem einheitlichen KeePass-Dateiformat umegehen.

Im Gegensatz zu Bitwarden handelt es sich nicht um einen Cloudservice und die Zugangsdaten werden in einer lokal gespeicherten Datei vorgehalten. Um das Synchronisieren mit verschiedenen Geräten muss man sich also seperat kümmern - das kann Vor- sowie Nachteil zugleich sein. Es bietet sich zum Beispiel eine Dateicloud wie Nextcloud oder eine Lösung wie Syncthing an. Da die Datei auch verschlüsselt ist, tut es zur Not oder zum Ausprobieren aber auch Google Drive, OneDrive, Dropbox, iTunes oder ähnliches.

Genauso wie Bitwarden ist KeePassXC und sind die KeePass-Apps für Android und iOS Open Source. Sie haben zwar keine Sicherheitsprüfungen hinter sich, erfreuen sich aber trotzdem großer Beliebtheit und sind damit ständig im Auge der Öffentlichkeit.

Hinweis

Das KeePass-Format und die KeePass-Apps:

KeePass an sich ist usrprünglich ein Passwortmanager für Windows und ein verschlüsseltes Speicherformat für Passwörter. Daher muss man zwischen KeePass-Apps und dem KeePass-Speicherformat unterscheiden (letzteres wird auch KeePass-Datenbankformat genannt).

Das KeePass-Speicherformat ist ein bestimmtes Format um Passwörter zu speichern, ähnlich wie Word-Dateien ein Format sind, um Texte zu speichern oder wie PowerPoint-Dateien ein Format zum speichern von Präsentationen sind.

KeePass-Apps sind Programme, die das KeePass-Speicherformat zum Speichern von Passwörtern verwenden. Sofern das KeePass-Speicherformat untersützt wird, ist es dabei egal, welche der KeePass-Apps verwendet wird. Die Orginial-App nennt sich einfach nur KeePass, ist aber auch nur für Windows erhältlich

Wir werden hier die KeePass-Apps KeePassXC (Windows, MacOS, Linux), KeePass2Android (Android) und Strongbox (iOS) thematisieren. Allesamt nutzen das KeePass-Speicherformat und sind damit kompatibel zueinander - der Name ist zwar unterschiedlich, aber man kann sie wie ein Produkt verwenden.

Auf einen Blick - Vor- und Nachteile von KeePassXC

Vorteile:

Ende-zu-Ende-verschlüsselt: Die Zugangsdaten können nur von Dir, wenn das Masterpasswort bekannt ist, eingesehen werden.
Quelloffen: Der Bauplan von KeePassXC ist einsehbar und kann von Expert:innen überprüft werden.
Für alle gängigen Plattformen verfügbar: Es gibt Programme für Windows, MacOS, Linux, iOS und Android, die das KeePass-Format unterstützen.
Autofill im Browser: Durch Addons integriert sich KeePassXC nahtlos in der Internet-Browser Deiner Wahl.
Keine Cloud-Anbindung: Selbst die verschlüsselten Daten verlassen niemals Dein eigenes Gerät, wenn Du das nicht möchtest.
Speicherung in einer Datei: Die Zugangsdaten werden einfach in einer verschlüsselten, kleinen Datei gespeichert - Du bist also völlig frei, was den Speicherort angeht und kannst sie auch auf einem USB-Stick an Deinem Schlüsselbund speichern.
Community-Projekt: Rund um das KeePass-Format entwickeln eine vielzahl von Freiwilligen KeePassXC und andere KeePass-kompatible Programme. Durch dieses Ökosystem kannst Du einfach zu einem anderen KeePass-Passwortmanager wechseln, wenn das vonnöten sein sollte.

Nachteile:

Sicherheitsaudits: KeePassXC hat keine externen Sicherheitsaudits durchlaufen. Das heißt nicht, dass es unsicher sein muss, es wurde aber nicht von Dritten einmal vollumfänglich auf erz und Nieren geprüft.
Community-Projekt: Es gibt keine einheitliche KeePass-kompatible-App für alle Plattformen. KeePassXC gibt es für Windows, MacOS und Linux und für Android und iOS gibt es dafür KeePass2Android und Strongbox. Das ist Vor- und Nachteil zugleich.
Keine Cloud-Anbindung: Möchte man die Zugangsdaten zwischen verschiedenen Geräten synchroniseren, muss man das aufgrund fehlender Cloud-Synchronisierung manuell machen. Auch fehlen Funktionen wie das Teilen von Zugangsdaten.

Einrichtung KeePassXC

Die Einrichtung funktioniert recht unkompliziert, die passenden Download-Links finden sich direkt bei KeePassXC. Lade Dir dort die passende Option herunter und klicke Dich durch den Setup-Prozess. Sollest Du Dir unsicher über die Einrichtung sein, kannst Du nachfolgend zu Details zur passenden Plattform springen. Ansonsten kannst Du mit der Überschrift Verwendung fortfahren.

Desktop-PC:

Windows-Installation
MacOS-Installation
Linux-Installation

Internet-Browser:

Addon für Mozilla Firefox
Addon für Google Chrome
Addon für Microsoft Edge

Mobilgerät:

Android-Installation
iPhone/iOS-Installation

Installation unter Windows, MacOS und Linux

Für den Desktop kann KeePassXC von deren Webseite im Download-Bereich heruntergeladen werden. Das funktioniert für KeePassXC prinzipiell wie für jedes andere Programm auch, die genauen Schritte werden nachfolgend beschrieben.

Windows

KeePassXC herunterladen und die Datei speichern
Downloadverzeichnis öffnen: Den Windows-Explorer öffnen, z.B. durch Druck der Windows-Taste + E und zu Downloads navigieren
KeePassXC-Installer ausführen: Doppelklick auf die eben heruntergeladene KeePassXC-X.X.X-Win64.msi-Datei machen
Setup abschließen: Nun kann man sich nach den eigenen Bedürfnissen durch den Installer klicken und erhält am Ende KeePassXC schlüsselfertig auf den eignen Desktop
KeePassXC starten und die Datenbank anlegen: Nach dem KeePassXC Start muss man noch die Datenbank anlegen, das die Datei, in der Deine Zugangsdaten verschlüsselt gespeichert werden. Dafür lediglich einen Namen, einen Speicherort und ein Passwort wählen, weiter und fertig - KeePassXC ist einzsatzbereit. Die Datei solltest Du nicht verlieren und regelmäßig sichern, ohne diese verlierst Du den Zugriff auf die im Passwortmanager gespeicherten Zugangsdaten.

Bildstrecke: KeePassXC unter Windows installieren

MacOS

KeePassXC herunterladen und die Datei speichern
Downloadverzeichnis öffnen: Den Finder äffnen und zu Downloads navigieren
KeePassXC-Installer ausführen: Doppelklick auf die eben heruntergeladene KeePassXC-X.X.X-XXXXX.dmg Datei machen
Setup abschließen: Nun kann man sich nach den eigenen Bedürfnissen durch den Installer klicken und erhält am Ende KeePassXC schlüsselfertig auf den eigenen Desktop
KeePassXC starten und die Datenbank anlegen: Nach dem KeePassXC Start muss man noch die Datenbank anlegen, das ist die Datei in der Deine Zugangsdaten verschlüsselt gespeichert werden. Dafür lediglich einen Namen, einen Speicherort und ein Passwort wählen, weiter und fertig - KeePassXC ist einsatzbereit. Die Datei solltest Du nicht verlieren und regelmäßig sichern, ohne diese verlierst Du den Zugriff auf die im Passwortmanager gespeicherten Zugangsdaten.

Bildstrecke: KeePassXC unter MacOS installieren

Linux

Für Linux gibt es verschiedene Installationsvarianten, wir empfehlen die offiziellen Pakete Deiner Linux-Version (Distribution) zu wählen und nicht die sogenannten cross-distribution packages. Dazu wie folgt vorgehen:

KeePassXC über den Linux-Appstore installieren: Rufe wie gewohnt den Appstore unter Linux auf, für gewöhnlich ist das das Programm namens “Software”. Dort KeePassXC suchen und installieren. Alternativ rufe die KeePassXC-Downloadseite auf, suche unter “distribution-specific packages” Deine Linux-Version (Distribution) und kopiere den dort aufgeführten Befehl in das Terminal und führe ihn mit Enter aus.
KeePassXC starten und Datenbank anlegen: Nach dem KeePassXC Start muss man sich noch die Datenbank anlegen, das ist die Datei in der Deine Zugangsdaten verschlüsselt gespeichert werden. Dafür lediglich einen Namen, einen Speicherort und ein Passwort wählen, weiter und fertig - KeePassXC ist einsatzbereit. Die Datei solltest Du nicht verlieren und regelmäßig sichern, ohne diese verlierst Du den Zugriff auf die im Passwortmanager gespeicherten Zugangsdaten.

Bildstrecke: KeePassXC unter Linux installieren

Einrichtung der KeePassXC Browser-Erweiterung

Mithilfe der Browser-Erweiterung kann KeePassXC automatisch Passwörter für und auf Webseiten aufüllen, erstellen und speichern. Das ist ungemein praktisch - einmal eingerichtet und verstanden, muss man nie wieder manuell Passwörter beim Online-Shopping, E-Mails schreiben und so weiter eingeben.

Mozilla Firefox

Hinweis: Das KeePassXC-Addon greift nicht gesondert auf Deine KeePassXC-Passwortdatei zu, sondern stellt eine Verbindung zu dem KeePassXC-Programm auf Deinem PC her. Das Addon funktioniert daher nur, wenn KeePassXC im Hintergrund offen und entsperrt ist. Die Einrichtung ist nachfolgend im Details beschrieben.

Zum Mozilla AddOn Store navigieren und auf “Zu Firefox hinzufügen” klicken
In KeePassXC -> Werkzeuge -> Einstellungen zu Browser-Integration navigieren
Dort den Haken bei Browserintegration aktivieren und Firefox setzen, mit Ok bestätigen
Anschließend das KeePassXC-Addon im Firefox neuladen
Und schlussendlich über “Verbinden” eine Verbindung zum KeePassXC-Programm auf Deinem PC herstellen

Bildstrecke: KeePassXC im Firefox

Google Chrome

Zum Chrome Webstore navigieren und auf “Hinzufügen” klicken
In KeePAssXC -> Werkzeuge -> Einstellungen zu Browser-Integration navigieren
Dort den Haken bei Browserintegration aktivieren und Chrome, Vivaldi und Brave setzen, mit Ok bestätigen
Anschließend das KeePassXC-Addon im Chrome neuladen
Und schlussendlich über “Verbinden” eine Verbindung zum KeePassXC-Programm auf Deinem PC herstellen

Bildstrecke: KeePassXC im Chrome

Microsoft Edge

Zum Microsoft Edge AddOn Store navigieren und auf “Abrufen” klicken
In KeePassXC -> Werkezuge -> Einstellungen zu Browser-Integration navigieren
Dort den Haken bei Browserintegration aktivieren und Edge setzen, mit Ok bestätigen
Anschließend das KeePassXC-Addon im Chrome neuladen
Und schlussendlich über “Verbinden” eine Verbindung zum KeePassXC-Programm auf Deinem PC herstellen

Bildstrecke: KeePassXC im Edge

Installation unter Android und iOS

Android

Zum PlayStore navigieren und “Installieren” wählen
KeePass2Android öffnen
Eine neue Datenbank anlegen, Speicherort und Masterpasswort wählen
Die Datenbank entsperren - fertig!

Bildstrecke: KeePass2Android installieren

Hinweis: KeePass2Android ist leider nicht über den F-Droid Store verfügbar, kann jedoch alternativ direkt als Installationspaket über GitHub heruntergeladen werden. Aktualisierungen müssen dann aber manuell getätigt werden. Wer die umfassenden Anbindungsmöglichkeiten externer (Netzwerk-)Speicher von KeePass2Android nicht benötigt oder dafür ohnehin Drittapps verwendet, kann alternativ auch KeePassDX verwenden, welches im F-Droid Store zu Verfügung steht.

iOS

Zum AppStore navigieren und “Laden” wählen
Installation bestätigen und abwarten
Strongbox öffnen und Einrichtungsassistenten durchklicken
- Wahlweise die Datenbank in der iCloud sichern
- Autofill in iOS aktivieren
  - iOS-Einstellungen öffnen
  - Zu “Passwörter” navigieren und dort “Automatisch ausfüllen” auswählen
  - Automatisch ausfüllen allgemein und für Strongbox aktivieren
Datenbank unter “Loslegen” erstellen
Datenbank öffnen und konfigurieren
- Automatisches Ausfüllen für die Datenbank verwenden
- Datenbank als Schnellstart verwenden und so als Standard festlegen
- Alle 2 Wochen an Backups erinnern

Bildstrecke: Strongbox unter iOS installieren

Verwendung

Nun, da KeePassXC installiert und eingerichtet ist, können wir es verwenden. Nachfolgend kannst Du direkt zu bestimmten Themenpunkten springen, wenn Du nicht für alles eine Beschreibung benötigst.

Entsperren & die Passwortdatenbank
Anlegen von Einträgen
Verwalten von Einträgen
Die Web-Browser-Erweiterung
Backups

Entsperren & die Passwortdatenbank

Der erste Schritt, der bei jedem Start von KeePassXC nötig ist, ist das Entsperren der Passwortdatenbank.

Die Passwortdatenbank ist wie bereits geschrieben ein verschlüsselter Speicherbereich bzw. Datenablage in der die Zugangsdaten gespeichert werden können. Im Grunde kann man es sich wie einen Aktenorder vorstellen, den man in einem Tresor ablegt. Es ist die vertrauenswürdige Ablage für all Deine Passwörter und Zugangsinformationen. Daher ist besonders wichtig, diese mit einem möglichst starken Kennwort zu schützen. Dieser Schritt ist bereits bei der Einrichtung gegangen worden, beim Anlegen der KeePassXC-Datenbank nach dem ersten Start. Nun kann die Passwortdatenbank bei jedem Start von KeePassXC mit Deinem Masterpasswort entsperrt werden:

Anlegen von Einträgen

Um einen neuen Eintrag anzulegen, findest Du oben in der Symbolleiste ein kreisförmiges Plus-Symbol. Das ist der Knopf um einen neuen Eintrag zu erstellen. Nach Druck dieses Knopfes kannst Du in der Eingabemaske Die Zugangsdaten für eines Deiner Konten eintragen:

Der Name des Eintrags. So kannst Du die Einträge später suchen, wiederfinden und zuordnen.
Der Benutzer:innenname für das Konto also der Loginname, den Du zum Anmelden verwendest.
Schließlich das Passwort für das Konto.
Und die URL / Web-Adresse für das Konto. Das ist wichtig, damit KeePassXC in Deinem Browser, z.B. Firefox, automatisch Dein Passwort eintragen kann.
Sollte es ein neues Konto sein, kannst Du in KeePassXC direkt ein sicheres Passwort generieren lassen. Das geht über das kleine Würfelsymbol neben dem Passwort-Feld beim Anlegen eines Eintrages.
Mit Klick auf “Ok” wird der Eintrag schlussendlich gespeichert.

Verwalten von Einträgen

Mit der Zeit haben sich dann hoffentlich einige Einträge in Deinem KeePassXC Passwortmanager gesammelt:

Das Plus-Symbol erlaubt Dir, immer weitere Einträge und Zugangsdaten zu speichern.
Im oberen Bereich kannst Du durch alle Einträge blättern.
Im unteren Bereich kannst Du die Details zum aktuell angewählten Bereich betrachten.
Mit einem Doppelklick kannst Du einen Eintrag bearbeiten und mit einem Rechtsklick weitere Aktionen ausführen.

Die Web-Browser-Erweiterung

Besonders praktisch an KeePassXC ist auch die Web-Browser-Erweiterung. Das ist ein kleines Zusatzprogramm für Deinen Web-Browser, zum Beispiel für Firefox. Die Installation haben wir ebenfalls schon am Anfang dieses Artikels behandelt.

Das Firefox-Addon steht Dir als kleines Symbol oben rechts in Deinem Firefox zur Verfügung. In Google Chrome und anderen Web-Browsern solltest Du auch ein Icon an ähnlicher Stelle finden. Daher werden wir hier nur Bildschirmfotos für Firefox einfügen. Um es zu Verwenden, musst Du KeePassXC im Hintergrund gestartet und entsperrt haben, wenn alles ist, wie es sein soll, sieht es dann wie folgt aus:

Soweit nichts besonderes. Das praktische am Addon ist die Autofill-Funktion.

Die Autofill-Funktion ermöglicht es, dass Deine Passwörter bzw. Zugangsdaten auf Webseiten automatisch ausgefüllt werden und Du sie somit nicht kopieren oder händisch eingeben. Dazu musst Du einfach die Webseite aufrufen. KeePassXC sucht automatisch nach passenden Einträgen und wenn es welche findet, musst Du den Zugriff darauf genehmigen - wenn Du auf “Merken” klickst, ist das einmalig (hier am Beispiel der GLS-Webseite):

Künftig musst Du nur in das Anmeldefeld klicken und Dir wird dann automatisch der passender Eintrag vorgeschlagen und nach Klick auf diesen werden die Zugangsdaten auf der Webseite augefüllt:

Backups

Da bei KeePassXC Deine Zugänge einfach in einer verschlüsselten Datei gespeichert werden, kannst Du diese stinknormal, wie Deine bisherigen Dateien auch, backuppen. Das solltest Du auch in jedem Fall machen, denn wenn Du die KeePassXC-Datei verlierst oder diese beschädigt wird, hast Du den Zugriff auf Deine Passwörter verloren!!

Literatur und Quellen

Dateisynchronisation mit Syncthing

Sat, 03 Apr 2021 00:00:00 +0000

Es ist ein Problem, das viele sicherlich kennen: Man hat mehrere Geräte und möchte bestimmte Dateien auf allen Geräten immer griffbereit haben. Ein USB-Datenträger, den man immer an das momentan benutzte Gerät anschließt, ist natürlich keine schöne Lösung. Eine andere naheliegende Lösung sind Cloudspeicher - Onlinedienste, bei denen man einen Ordner hat, in den man Dateien speichern kann. Dazu gibt es oft Clientanwendungen, die einen lokalen Ordner auf den Geräten mit dem Cloudspeicher synchronisieren, wenn eine Internetverbindung besteht. Für diesen Service muss man dem Cloudspeicheranbieter seine Daten anvertrauen. Natürlich kann man sich eine derartige “Cloud” auch selbst bauen, was allerdings einen Einrichtungs- und Wartungsaufwand bedeutet.

Hier ist Syncthing eine “Cloud light”. Damit kann man Dateien zwischen seinen Geräten abgleichen, ohne das man die Dateien an einer eigenen oder fremden zentralen Stelle speichern muss. Syncthing verwendet direkte Verbindungen zwischen den Geräten, sofern es möglich ist. Wenn sich beide Geräte hinter einer Firewall befinden, können Relay-Server verwendet werden.

Inhaltsverzeichnis:

Geräte-IDs
Verbindungsaufbau
Ordnerfreigabe
Installation
Starten
Konfiguration nach dem ersten Start
Eine Freigabe erstellen
Verwaltungsvereinfachungen
Fazit

1. Geräte-IDs

Geräte werden in Syncthing durch eine Geräte-ID repräsentiert. Diese ID ist allerdings keine zufällige Zeichenfolge, sondern der Fingerabdruck eines Zertifikats - jede Syncthing-Installation erstellt beim ersten Start ein Schlüsselpaar. Syncthing verwendet TLS (Transport Layer Security) - das Protokoll, das auch bei HTTPS für die Verschlüsselung verwendet wird. Im Gegensatz zu HTTPS wird allerdings keine Zertifizierungsstelle benötigt, da mit der Geräte-ID schon eine Möglichkeit zum Prüfen der Authentizität der Gegenseite vorhanden ist und auch verwendet wird. TLS stellt hier natürlich auch die Vertraulichkeit und Integrität der übertragenen Daten sicher.

2. Verbindungsaufbau

Eine theoretisch sichere Verbindung bietet keinen Mehrwert, wenn keine Verbindung zustande kommt. Hierfür hat Syncthing die konfigurationsfreie und in der Voreinstellung aktivierte Local und Global Discovery.

Die Local Discovery erfolgt durch das Senden von UDP-Broadcasts, die die Geräte-ID und als Absender die IP-Adresse im aktuellen Netz enthalten. In öffentlichen Netzwerken ist es also - wenn man nicht sofort wiedererkannt werden möchte - zielführend, die Local Discovery abzuschalten. Noch besser ist es natürlich, Syncthing zu beenden, weil Syncthing bei einer eingehenden Verbindung sein Zertifikat zeigt und damit auch indirekt die Geräte-ID preisgibt.

Die Global Discovery erfolgt über einen zentralen Server - daran führt (fast) kein Weg vorbei, wenn man durch das “Internet” eine Verbindung aufbauen möchte. Dort meldet der Syncthing-Client, wie man ihn erreichen kann. Jede und Jeder kann diese Daten vom zentralen Server abrufen, wenn er dort nach der Geräte-ID fragt. Die anderen eigenen Clients sollen das natürlich erfahren können, aber Dritte nicht. Natürlich kann man auch einen eigenen Global Discovery Server betreiben und im Client hinterlegen - ob man sich die Mühe macht ist eine andere Frage.

Wie bereits geschrieben können Relay-Server verwendet werden. Auch diese Funktion ist erst einmal eingeschaltet und wenn man diese nicht braucht ist es besser, sie abzuschalten. Die Verbindung zum Zielgerät ist auch bei der Nutzung von Relays durch TLS geschützt, sodass der Relay-Server keine Inhalte sehen kann. Auch die Relay-Server könnte man selbst betreiben. Eine Verbindung über einen Relay-Server wird nur versucht, wenn keine andere Möglichkeit funktioniert. Allerdings registrieren sich Geräte - sofern aktiviert - sofort beim Relay-Server, damit den anderen Geräten über den Global Discovery Server diese Möglichkeit angeboten werden kann. Jetzt haben wir die Theorie für den Verbindungsaufbau zwischen den Geräten betrachtet. Eine Verbindung zu anderen Geräten ist aber langweilig, wenn sie nicht genutzt wird. Damit kommen wir zu den Ordnern.

3. Ordnerfreigabe

Die freigegebenen Einheiten heißen Ordner. Innerhalb von Syncthing haben Ordner eine ID wie levuv-skz3b, aber man hat die freie Wahl, wie man sie nennen möchte - sowohl in der Syncthing-Oberfläche als auch im lokalen Dateisystem. Eine Synchronisation findet nur statt, wenn bei zwei Syncthing-Instanzen ein Teilen dieses Ordners (identifiziert durch die Ordner-ID) mit der jeweils anderen Instanz aktiviert ist. In der Praxis teilt man einen Ordner von einer Instanz aus - dann gibt es beim anderen Gerät einen Hinweis auf einen neuen Ordner und wenn man diesen dann hinzufügt, dann hat man auch automatisch die richtige Ordner-ID hinterlegt.

Syncthing scannt den lokalen Ordner im Dateisystem regelmäßig und lässt sich - sofern es das eigene Betriebssystem unterstützt - über Änderungen benachrichtigen. Intern teilt Syncthing die Dateien in Blöcke auf. Bei Änderungen werden nur die veränderten Blöcke übertragen, wodurch Syncthing scheinbar nur die Änderungen überträgt.

4. Installation

Syncthing hat keine konventionelle grafische Oberfläche, sondern startet einen Webserver, über den man es konfigurieren kann. Für Linux-Nutzer gibt es eine native grafische Oberfläche, die aber scheinbar nicht mehr gepflegt wird. Wir werden hier also die Syncthing-Weboberfläche verwenden. Wer will kann sich die Drittanbieter:innen-Werkzeuge für Syncthing ansehen, die z.B. ein Tray-Icon für Syncthing ermöglichen.

In jedem Fall muss man Syncthing installieren, bevor man es verwenden kann. Wenn man kein Linux-System verwendet oder es Syncthing nicht in den Paketquellen gibt, dann kann man es auf der Download-Seite herunterladen. Dort gibt es auch einen Link zu F-Droid - Syncthing kann man also auch unter Android verwenden. Alternativ gibt es für Android auch einen Fork.

Wir verwenden zum Vorführen zwei Debian 10-Installationen. Dafür rufen wir ein Terminal auf und führen sudo apt install syncthing aus.

5. Starten

Zum “Starten” von Syncthing haben wir vier Möglichkeiten:

syncthing im Terminal eingeben, damit wird Syncthing gestartet und der Standardbrowser mit der Oberfläche geöffnet
syncthing -no-browser aufrufen (dafür gibt es in der Anwendungsliste den Eintrag “Start Syncthing”), was nur den Dienst und nicht die Oberfläche startet
syncthing -browser-only ausführen (das verbirgt sich hinter “Syncthing Web UI”), was nur die Oberfläche im Browser öffnet und nur funktioniert, wenn der Syncthing-Dienst bereits läuft
den Autostart aktivieren; bei Linux-Distributionen, die Systemd verwenden, reicht hierfür i.d.R. ein systemctl --user enable --now syncthing; ansonsten liefert die Dokumentaion Anweisungen für verschiedene Systeme

Wie man an die Oberfläche gelangt ist eine individuelle Entscheidung. Wenn man einen Wrapper wie SyncTrayzor verwendet, dann hat man andere Möglichkeiten dafür.

6. Konfiguration nach dem ersten Start

Nach dem Aufrufen der Oberfläche erhält man die Frage, ob man die Telemetrie-Funktion aktivieren möchte. Danach sollte man im Menü oben rechts “Aktionen” und dann “Einstellungen” wählen.

In der Voreinstellung ist die Oberfläche nur über 127.0.0.1:8384 erreichbar. 127.0.0.1 ist eine der Adressen des sogenannten Loopback-Interfaces - auf die Oberfläche kann also nur vom dem Rechner, auf dem Syncthing läuft, zugegriffen werden. Wir empfehlen dennoch ausdrücklich, unter “GUI”, einen Nutzernamen und ein Passwort für die Nutzeroberfläche festzulegen. Solltet ihr eine virtuelle Maschine mit dem QEMU User Mode Networking verwenden, dann kann das Gastsystem unter 10.0.2.2 das Loopback-Interface eures Wirtes und somit Syncthing erreichen und beliebig steuern, was die Isolation durch die Virtualisierung wieder aushebeln würde. Ihr würdet auch eure Benutzerverwaltung aushebeln, weil auch der extra unpreviligierte Benutzer nobody Syncthing steuern könnte und damit auf alle Dateien zugreifen kann, auf die auch ihr zugreifen könnt. Also: Passwort setzen, wir haben es euch gesagt.

Dann gibt es noch die Verbindungs-Einstellungen. Die “NAT-Durchdringung” meint hier, dass Syncthing versucht, bei eurem Router eine Portweiterleitung zu konfigurieren, damit eine Verbindung ohne Relay-Server ohne weitere Konfiguration möglich wird. In dem meisten Fällen ist das nur sinnvoll, wenn auch die “Globale Gerätesuche” (die Global Discovery) aktiviert ist. Die “Lokale Gerätesuche” ist entsprechend die Local Discovery und die “Weiterleitungen” meint die Relay-Server. Wenn man sich bei einer Option sicher ist, dass man das nicht braucht, dann sollte man diese abschalten.

7. Eine Freigabe erstellen

Die Übersichtsseite sieht noch sehr leer aus - es gibt zwar einen voreingestellten Ordner, aber keine Geräte, mit denen man diesen teilen könnte. Der “Gerät hinzufügen”-Button ändert das. Dabei braucht man die Kennung des anderen Gerätes - also die Geräte-ID. Die findet man beim anderen Gerät im Menü. Das Menü und die Anzeige von der Geräte-ID haben wir vorhin schon einmal gezeigt. Wenn die Local Discovery zwischen beiden Geräten funktioniert, dann gibt es im Hinzufügen-Dialog unter dem ID-Eingabe-Feld Vorschläge, die man direkt anklicken kann, um den entsprechenden Wert einzufügen. Bei der Android-Version von Syncthing (und evtl. auch bei anderen Wrappern) kann man auch einen Barcode, der eine Geräte-ID enthält, scannen.

Wichtig ist, einen Ordner (z.B. den “Default Folder”) mit dem Gerät zu teilen, weil sonst kein Verbindungsaufbau versucht wird. Die Freigaben können mit der Bearbeitung vom Gerät oder mit dem Bearbeiten vom Ordner erstellt werden - in beiden Fällen ist der Inhalt vom Tab “Teilen” der Ort, bei dem man es konfigurieren kann.

Das zweite Gerät kennt das erste nicht. Nun könnte man die gleichen Schritte am anderen Gerät wiederholen - aber es geht auch einfacher. Wenn sich ein unbekanntes Gerät meldet, können wir angeben, dass das erwünscht ist und wir dieses Gerät hinzufügen wollen. Das erste Gerät erfährt aber nichts hiervon und solange am zweiten Gerät nichts freigegeben wird, versucht es nicht, eine Verbindung zum ersten Gerät aufzubauen. Ein Neustart am ersten Gerät kann dieses Problem schnell lösen. Dann kommt die nächste Frage:

Nach einer zweiten Bestätigung ist auch dieses Problem gelöst und die Verbindung mit Synchronisation steht. Der “Default Folder” ist der Unterordner “Sync” im Home-Verzeichnis. Wenn eine Datei in einen Sync-Ordner gelegt wird, dann taucht diese zeitnah im anderen Sync-Ordner auf.

Natürlich kann man auch andere Ordner freigeben. Dafür muss man im “Ordner hinzufügen”-Dialog den lokalen Pfad angeben. Hier wird z.B. der Dokumente-Ordner geteilt. Für jeden Ordner können andere Geräte gewählt werden, mit denen dieser geteilt wird.

8. Verwaltungsvereinfachungen

Wenn ein Ordner zwischen drei oder mehr Geräten geteilt wird, dann wird das Hinzufügen eines weiteren Gerätes zum Cluster aufwändig, wenn jeder direkt mit jedem synchronisieren soll - es müssten alle bestehenden Geräte manuell mit dem neuen Gerät gekoppelt werden.

Hier bietet Syncthing die Möglichkeit, auf dem neuen Gerät nur ein Gerät zu hinterlegen und dieses als “Introducer” bzw. Verteiler festzulegen. Dann werden alle weiteren Geräte, mit denen der Introducer die gemeinsamen Ordner teilt, automatisch hinzugefügt.

Zur Veranschaulichung ein Beispiel: Das neue Gerät X wird für einen Sync des Ordners “Notizen” bei dem Gerät A hinterlegt. Gerät A teilt “Notizen” auch mit den Geräten B und C. Wenn nun das neue Gerät X das Gerät A als Verteiler festlegt und die Ordnerfreigabe akzeptiert, wird beim Gerät X durch das Gerät A automatisch das Gerät B und C hinzugefügt und auch der Ordner mit diesen Geräten abgeglichen.

9. Fazit

Syncthing ist also eine Lösung, um Dateien auf mehreren Geräten abzugleichen, ohne das man eine Zentrale benötigt. Die Einrichtung benötigt etwas Zeit, aber danach kann man es starten und muss nicht weiter darüber nachdenken. Dank der Local Discovery wird dabei nicht einmal eine Internetverbindung benötigt. Es reicht sogar schon, die Netzwerkkarten von zwei Geräten mit einem Netzwerkkabel zu verbinden - durch die Link-Local-Adressen erhalten beide Geräte eine IP-Adresse und die “Broadcasts” für die Local Discovery funktionieren in diesem Fall sowieso. Dabei ist darauf zu achten, dass der NetworkManager nicht die Verbindung abbaut - bei einem Test hat er nach einer kurzen Zeit ohne Antwort auf seine DHCP-Anfragen aktiv die Verbindung getrennt und damit auch die Link-Local-Verbindung abgebaut. Nach dem Einstellen, dass nur eine Link-Local-Adresse gewünscht ist, trat dieses Verhalten nicht mehr auf - aber man darf nicht vergessen, diese Einstellung wieder rückgängig zu machen, weil man sonst keine Internetverbindung mehr aufbauen kann.

Literatur und Quellen

Sichere Logins - Teil 1 - Sichere und merkbare Passwörter

Mon, 01 Mar 2021 00:00:00 +0000

Sichere Logins - Teil 1 - Sichere und merkbare Passwörter

Inhaltsverzeichnis:

Einleitung
Wodurch sich gute Passwörter auszeichnen
Die Kunst, sichere und merkbare Passwörter zu wählen
Fazit
Literatur und Quellen

Einleitung

Die Bildschirmsperre beim PC und Laptop oder die Anmeldung beim E-Mail-Konto, beim Online-Banking oder beim Online-Shopping - heutzutage nutzt fast jede und jeder unzählige digitale Geräte und Dienste, bei denen man sich in irgendeiner Weise einloggen - authentifizieren - muss. Das ist auch gut so, denn nur so kann sichergestellt werden, dass Deine digitalen Dienste nicht von anderen in Deinem Namen missbraucht werden. Logins sind ein elementarer Bestandteil in der digitalen Welt von heute. Was leider auch ein Bestandteil davon ist, sind immer wieder Schlagzeilen über geknackte Konten und den Schabernack, den Kriminelle damit treiben. Warum? Weil entweder Diensteanbieterinnen und Diensteanbieter ihre Dienste schlecht absichern oder die Endnutzerinnen und Endnutzer unsichere Logins nutzen. Oft ist das keine Absicht, sondern schlicht Unwissen. Gegen ersteres kannst Du nur begrenzt etwas machen, gegen letzteres schon. Genau in diese Lücke zielt diese Artikelserie - Du wirst merken, es ist im Grunde kein Hexenwerk ausreichend sichere Logins zu nutzen.

Teil einer Artikelserie:

Die Rolle von Passwörtern

Eine der meistgenutzten Methoden um sich in digitale Geräte und Dienste einzuloggen, sind Passwörter. Es ist sehr wahrscheinlich, dass auch Du, sowie Du diesen Text ließt, jeden Tag die kleinen Ansammlungen von Buchstaben und Zahlen brauchst, um Dich in eben Deine digitalen Dienste und Gerätschaften einzuloggen. Womöglich sogar bei all den vorab genannten Beispielen wie bei Deinem PC oder Laptop, Smartphone oder Tablet, bei diversen Webseiten und so weiter. Inzwischen hat wohl jede und jeder mindestens ein paar digitale Dienste, die mit Passwort gesichert werden wollen. Passwörter spielen in der heutigen digitalen Welt eine entscheidende Rolle. Deswegen soll in diesem ersten Teil unserer Artikelserie erklärt werden, wodurch sich sichere Passwörter auszeichnen und wie man Passwörter wählt, die möglichst gleichzeitig sicher und dennoch merkbar sind.

Wodurch sich sichere Passwörter auszeichnen

Die Sicherheit eines Passwortes misst sich daran, wie lange eine Angreiferin oder ein Angreifer braucht, es herauszufinden. Daraus ergeben sich zwei entscheidende Sicherheitsfaktoren für ein Passwort: Es muss schwer zu erraten sein und es muss geheim bleiben. Das bedeutet:

Sicher Passwörter sollten

Zufällig sein. Man sollte sich Passwörter nicht selber ausdenken, sondern zufällig generieren. Das mindert das Risiko, dass Parteien, die Deine Interessen, Deinen Charakter oder Deine Denkweise kennen, Dein Passwort erraten können.
So lang wie möglich sein. Nur ein zufälliges Passwort reicht nicht. Wenn das Passwort zu kurz ist, kann es leicht durch ausprobieren geknackt werden. Computer werden immer besser und können so immer mehr Passwörter in der gleichen Zeit ausprobieren - vor allem, wenn die genutzen Dienste dagegen nur unzureichend Vorkehrungen treffen. Mindestens 12 Zeichen für Onlinedienste und 20 Zeichen für WLAN-Zugänge sind die Empfehlung des Bundesamtes für Sicherheit in der Informationstechnik (BSI).
So viele Zeichenarten wie möglich beinhalten. Nicht nur die Länge des Passworts, auch die Anzahl der Zeichenarten erhöht die Anzahl möglicher Kombinationen des Passworts und schützt so gegen Erraten des Passworts durch ausprobieren. Dafür bieten sich gängige Zeichenarten wie Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen an.
Einzigartig sein. Passwörter sollten nur für einen einzigen Dienst verwendet werden. Das Passwort für das Online-Banking sollte sich also vom Passwort für das E-Mail-Konto unterscheiden. So wird der Schaden minimiert, falls ein Zugang oder Passwort geknackt werden sollte.

Für sichere Passwörter gilt es zu vermeiden, dass diese

Aufeinanderfolgende Zahlen, Buchstaben oder Tasten sind. Solche Kombinationen sind leicht zu erraten, schnell ausprobiert und leicht abzuschauen, wenn man das Passwort auf der Tastatur eintippt.
Persönliche Informationen enthalten. Der Name, das Geburtsdatum oder das Lieblingsessen haben in Passwörtern nichts zu suchen. Solche Merkmale lassen sich leicht herausfinden und so das Passwort erraten.
Unveränderte Standardpasswörter sind, die der Anbieter oder die Anbieterin Dir übermittelt haben. Bei Standardpasswörtern kannst Du nicht überprüfen wer das Passwort noch kennt oder wo es unter Umständen noch gespeichert ist.
Leicht zugänglich abgelegt werden: Passwörter sollten nicht im Klartext im Downloads-Ordner liegen oder auf einem Zettel am PC kleben oder sonst an irgendwelchen Orten aufbewahrt werden, an denen es sich vermeiden lässt.

Die Kunst, sichere und merkbare Passwörter zu wählen

Die oben genannten Merkmale sind recht anspruchsvoll und es stellt für die meisten Menschen eine Herausforderung dar, sich zufällig generierte, mehr als 12 Stellen lange Zeichenketten zu merken. Glücklicherweise gibt es Tricks, wie man die Aspekte für ein sicheres Passwort weitestgehend einhält und dieses dennoch gut zu merken ist.

Passphrasen

Passphrasen sind eine Reihe zufällig aneinandergereihter Wörter. Die Wörter entstammen einer Wortliste die z.B. auf Deutsch oder auf Englisch sein kann. Wenn man möchte, kann man die Worte noch durch Sonderzeichen der eigenen Wahl abtrennen. So entstehen im Endeffekt Passwörter, die man sich gut merken kann. Sicher sind sie dennoch, denn es lassen sich damit alle der oben genannten Aspekte erfüllen (Zufälligkeit, Länge, Zeichenvielfalt, Einzigartigkeit).

Das könnte beispielsweise dann wie folgt aussehen:

anonym&robust+kraftwaltzfegtloesen

Wie erzeugt man Passphrasen?

Passphrasen lassen sich zum Beispiel durch die Diceware-Methode erzeugen. Man braucht dafür nur einen Würfel und eine Wortliste:

Fünf mal mit dem Würfel würfeln und sich die Zahlen merken oder notieren, z.B. 13341
Mithilfe der Zahlen das zugehörige Wort in der Wortliste suchen, in unserem Beispiel anonym
Die Schritte eins und zwei beliebig wiederholen, es empfiehlt sich eine Länge von mindestens fünf, besser sechs Wörtern. Siehe auch Wikipedia: Sicherheitsberechnung
Sonderzeichen zwischen einigen oder allen Wörtern einfügen

Eselsbrücken

Eine weitere Methode ist es, sich einen Satz zu überlegen, den man sich merken kann und davon die Anfangsbuchstaben und Satzzeichen zu nutzen. Ein Beispiel dafür wäre “Anoxinon ist der beste Verein der Welt, denn er erklärt mir, wie ich sichere Passwörter erstellen kann!”, was somit zu “AidbVdW,deem,wisPek!” wird:

AidbVdW,deem,wisPek!

Wichtig ist, dass auch dieser Satz möglichst frei erfunden und nicht aus irgendeinem Textstück stammt. Auch bei dieser Methode können alle oben genannten Aspekte erfüllt werden (mit gewisser Einschränkung bei der Zufälligkeit!) und so ein sicheres und merkbares Passwort entstehen.

Hinweis: Letztendlich bietet die Passphrase-Methode ein mathematisch ermittelbares Maß an Sicherheit, während das bei der Eselsbrücken-Methode nicht der Fall ist. Gut überlegt ist die Eselsbrücken-Methode dennoch deutlich besser, als keine Ordnung und Methodik bei der Passwortwahl und -organisation zu haben.

Fazit

Es ist im Grunde gar nicht so schwer, sichere Passwörter zu erstellen, die man sich doch einigermaßen merken kann. Es kann auch nur jeder und jedem geraten werden, die Vorschläge soweit wie möglich zu beachten, denn der Aufwand hält sich und Grenzen und die gewonnene Sicherheit ist es Wert - denn der Stress, der entstehen kann, wenn Passwörter ans Licht kommen, der ist es nicht und muss nicht sein.

Wenn man das alles beachtet, ist es natürlich klar, dass das für drei, vier, vielleicht fünf Passwörter gut funktioniert, aber dann die meisten von uns früher oder später Probleme haben werden, sich mehr Passwörter zu merken. Deswegen sollen im weiteren Verlauf dieser Artikelserie gezeigt werden, wie man dieses Problem mit sogenannten Passwortmanagern so gut wie möglich umgehen kann.

Literatur und Quellen

OpenPGP - Teil 2 - Der öffentliche Schlüssel

Sun, 13 Dec 2020 00:00:00 +0000

Der öffentliche Schlüssel bei OpenPGP spielt eine zentrale Rolle für die Verwendung der Verschlüsselung. Aus diesem Grund werden wir uns in diesem Blogbeitrag auf die Bearbeitung und die Veröffentlichung des öffentlichen Schlüssels konzentrieren.

Teil einer Artikelserie:

Inhaltsverzeichnis:

Was ist der öffentliche Schlüssel?
Muss ich alle Daten veröffentlichen?
Wie kann ich den öffentlichen Schlüssel verteilen?
Brauche ich ein Ablaufdatum?

1. Was ist der öffentliche Schlüssel?

Der öffentliche Teil deines OpenPGP-Schlüsselpaars dient zur Verteilung an die Kommunikationspartner. Er wird somit an alle verteilt, weshalb er auch als öffentlicher Schlüssel bezeichnet wird.

In der leserlichen Darstellung sieht ein öffentlicher Schlüssel so aus:

Der öffentliche Schlüssel enthält jedoch einige Informationen:

pub rsa4096 2020-08-16 [SC] [verfällt: 2022-08-16]
DF5EB8149E721C161104399D944BE2F3765AEE79
uid [ ultimativ ] Vornam Nachname 
uid [ ultimativ ] xmpp:user@domain.tld
uid [ ultimativ ] Mein Nickname 
sub rsa4096 2020-08-16 [E] [verfällt: 2022-08-16]
sub rsa4096 2020-08-16 [A] [verfällt: 2022-08-16]

In der ersten Zeile finden wir die Informationen zum Hauptschlüssel. Welcher Typ vom Schlüssel es ist, wann der Schlüssel erzeugt wurde und wann er ablaufen wird, wenn er vom Besitzer nicht vorher verlängert wurde.

In der zweiten Zeile finden wir den Fingerabdruck des Schlüssels. Oft wird dieser etwas aufbereitet, damit er besser gelesen und verglichen werden kann:

pub rsa4096 2020-08-16 [SC] [verfällt: 2022-08-16]
DF5E B814 9E72 1C16 1104 399D 944B E2F3 765A EE79
uid [ ultimativ ] Vornam Nachname 
uid [ ultimativ ] xmpp:user@domain.tld
uid [ ultimativ ] Mein Nickname 
sub rsa4096 2020-08-16 [E] [verfällt: 2022-08-16]
sub rsa4096 2020-08-16 [A] [verfällt: 2022-08-16]

Es folgen die Benutzeridentitäten. Der Besitzer kann mehrere Identitäten an den Schlüssel verknüpfen. So kann der Schlüssel beispielweise für die berufliche und private E-Mail Kommunikation verwendet werden oder zum Chatten via XMPP.

Es folgen die Unterschlüssel, auf die wir aber aktuell noch nicht eingehen werden.

Des Weiteren enthält ein öffentlicher Schlüssel auch die Signaturen von anderen Personen, worauf wir noch genauer eingehen werden. Nachdem eine Person (z.B. der Chef) den Schlüssel seines Kommunikationspartners (z.B. der Angestellte) geprüft hat, kann er den Schlüssel unterzeichnen. Die Prüfung eines öffentlichen Schlüssels läuft in der Regel über den Namen und den Fingerabdruck des öffentlichen Schlüssels, der Name wird mit den Informationen aus dem Personalausweis abgeglichen.

pub rsa4096 2020-08-16 [SC] [verfällt: 2022-08-16] DF5EB8149E721C161104399D944BE2F3765AEE79
uid [ ultimativ ] Vorname Nachname work@domain.tld
sig 3 944BE2F3765AEE79 2020-08-17 Vorname Nachname work@domain.tld
sig 3 1111111111111111 2019-05-14 [User-ID nicht gefunden]
sig 3 2222222222222222 2019-05-14 Chef chef@domain.tld
uid [ ultimativ ] xmpp:user@domain.tld
sig 3 944BE2F3765AEE79 2020-08-17 Vorname Nachname work@domain.tld
uid [ ultimativ ] Mein Nickname nickname@domain.tld
sig 3 N 944BE2F3765AEE79 2020-08-17 Vorname Nachname work@domain.tld
sub rsa4096 2020-08-16 [E] [verfällt: 2022-08-16]
sig 944BE2F3765AEE79 2020-08-16 Vorname Nachname work@domain.tld
sub rsa4096 2020-08-16 [A] [verfällt: 2022-08-16]
sig 944BE2F3765AEE79 2020-08-16 Vorname Nachname work@domain.tld

In diesem Beispiel kann man erkennen, dass die Benutzeridentität work@domain.tld insgesamt 3 Signaturen hat.

2. Muss ich alle Daten veröffentlichen?

Nein, muss man nicht. Die Implementierung GnuPG beispielweise ermöglicht eine Teilmenge der Schlüsselinformationen zu exportieren, damit nicht alle Informationen des Schlüssels verfügbar gemacht werden. Somit ist es möglich nur bestimmte Benutzeridentitäten zu exportieren oder die Signaturen beim Export zu entfernen.

gpg --armor --export --export-option export-minimal --export-filter keep-uid='uid=~work@domain.tld' DF5EB8149E721C161104399D944BE2F3765AEE79 | gpg --show-key --with-sig-list
pub rsa4096 2020-08-16 [SC] [verfällt: 2022-08-16]
DF5EB8149E721C161104399D944BE2F3765AEE79
uid Vorname Nachname 
sig 3 944BE2F3765AEE79 2020-08-17 Vorname Nachname 
sub rsa4096 2020-08-16 [E] [verfällt: 2022-08-16]
sig 944BE2F3765AEE79 2020-08-16 Vorname Nachname 
sub rsa4096 2020-08-16 [A] [verfällt: 2022-08-16]
sig 944BE2F3765AEE79 2020-08-16 Vorname Nachname

3. Wie kann ich den öffentlichen Schlüssel verteilen?

Es gibt mehrere Möglichkeiten den öffentlichen Schlüssel zu verteilen. Jedes Verfahren hat seine Vor- und Nachteile.

Speichermedium / E-Mail / Chat: Man kann den öffentlichen Schlüssel ganz normal auf ein Speichermedium (USB-Stick) kopieren, per E-Mail an den Kommunikationspartner senden, per XMPP innerhalb eines Chats verschicken oder über XMPP-PEP veröffentlichen. Nachteil, die Nutzer müssen erst miteinander in Kontakt treten, um die öffentlichen Schlüssel auszutauschen. Vorteil, man braucht so den Schlüssel nicht veröffentlichen.
Key-Server: Es gibt zwei Arten von Key-Servern, welche für den Austausch der Schlüssel verwenden werden können. Der öffentliche Schlüssel wird auf einem Key-Server hochgeladen, auf den alle Zugriff haben. Das ist vergleichbar mit einem öffentlichen Adressbuch. Nachteil, jeder kann die Informationen aus dem Schlüssel abfragen. Man sollte sehr gut überlegen, ob man dies möchte oder nicht.
Web-Key Directory: Der öffentliche Schlüssel wird in einem definierten Format auf einem Web-Server mit HTTPS abgelegt. Kennt der Kommunikationspartner die E-Mail-Adresse, so kann das Programm anhand der E-Mail-Adresse die abzufragende URL ermitteln und den öffentlichen Schlüssel downloaden.

4. Brauche ich ein Ablaufdatum?

Ja, ein Ablaufdatum des Schlüssels ist zu empfehlen. Kommt es zum Verlust des eigenen privaten Schlüssels (Hardware-Defekt, Token verloren, gelöscht), kann man den Schlüssel nicht mehr “widerrufen”. Der Schlüssel bleibt somit immer gültig, auch wenn man ihn ohne den privaten Schlüssel nicht mehr nutzen kann. Somit ist es empfehlenswert ein Ablaufdatum (z.B. 1 oder 3 Jahre) zu setzen. Dieses lässt sich einfach verlängern, jedoch muss der öffentliche Schlüssel dann auch wieder “verteilt” werden.

Änderungen

2022-01-27: Artikelzielgruppe als Fortgeschritten markiert.